科学技術振興機構（JST）への不正アクセス（役職員12名分のメール約18,000件が漏えいのおそれ）
公表日
科学技術振興機構（JST）で役職員12名のメールボックスに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、保管されていたメール最大約18,000件が外部に漏れたおそれがあります。漏えいが確定した件数は公表されておらず、ネット上への公開や悪用は確認されていないとされています。
対象者は？
JSTの役職員12名とメールをやり取りしたことのある外部の人などが対象です。漏えいのおそれがあるメールには、外部の人のメールアドレス約1,400件と、JST役職員のメールアドレス約1,000件が含まれています。メールにどんな内容が書かれていたか、氏名や電話番号などが含まれるかは明らかにされていません。
JSTの公式お知らせで、発表された内容を確認できます。対象者一人ひとりに連絡するかどうかは、まだ発表されていません。
いますぐできること
- JSTの公式お知らせで、最新の発表内容を確認する。
- JSTの職員を名乗るメールや、過去のやり取りを引用したメールを受け取ったら、添付ファイルを開いたりリンクを押したりする前に、送信元と内容に心当たりがあるか確かめる。
何が起きたのか
2026年7月28日、外部の機関からJSTに連絡がありました。JSTが専門の機関と一緒に調べたところ、第三者が不正にアクセスし、役職員のメールボックスに保管されていたメールの一部が外部に漏れたおそれがあると分かりました。JSTは8月7日にこのことを発表し、対象は約1万6,000件とされていました。8月28日には、対象を約18,000件に修正しています。
なぜ起きたのか・なぜ広がったのか
どのような方法で不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。されたのか、原因はまだ発表されていません。いつから不正アクセスがあったのかも公表されていません。今回は、JST自身ではなく外部の機関からの連絡で分かりました。
いまの状況2026-08-28 時点続報待ち
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。に使われた経路はふさがれ、アクセスできる権限を止めるなどの対策は済んでいます。JSTは個人情報保護委員会に報告し、関係する省庁や警察と協力して調査を続けています。漏れたおそれのある情報がネット上に公開されたり悪用されたりした事実は、今のところ確認されていないとしています。原因や対象者への個別の連絡については、まだ発表されていません。今後は、監視や検知の仕組みを強めるなどして再発防止に取り組むとしています。
企業として考えたいこと
社員のメールボックスに誰かが不正にアクセスしたとき、外部から知らされる前に自分たちで気付ける仕組みがありますか？
技術的な要約
JSTは2026年8月7日、第三者による不正アクセスで、一部役職員のメールボックスに保管されていたメールの一部が外部に漏えいした可能性があると公表した。2026年7月28日に外部機関からJSTへ情報提供があり、外部専門機関と連携した調査で判明した。対象は役職員12名分のメールボックスで、第1報では約1万6,000件、8月28日更新では約18,000件のメール情報とされた。含まれる外部メールアドレスは約1,400件（第1報時点は約1,300件）、JST役職員のメールアドレスは約1,000件である。悪用された経路は遮断され、アクセス権限の無効化等も実施済みで、公開や不正利用の事実は現時点で確認されていない。個人情報保護委員会へ報告済みで、関係省庁・警察と連携して調査が続いており、不正アクセスの具体的な経路・原因は公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明JSTは「不正アクセスに悪用された経路はすでに遮断し、アクセス権限の無効化等の措置を実施済み」と公表しているが、具体的な経路・原因は公表されていない（報道でも今後の注目点とされている）。
- 脆弱性
- CVE 非公表不明悪用された脆弱性の有無・製品は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 本件による業務停止は公表されていない。
- データ
- おそれ上限 18,000確定 —件その他役職員12名分のメールボックス内のメール情報。第1報（8/7）は約1万6,000件・外部メールアドレス約1,300件・JST役職員メールアドレス約1,000件、8/28更新で約18,000件・外部メールアドレス約1,400件・JST役職員メールアドレス約1,000件。メール本文の内容や氏名・電話番号等その他の個人情報の有無は報道時点で明らかにされていない。不特定多数への公開や不正利用は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先や取引先経由の侵害は公表されていない。
時系列
技術解説
発覚の経緯と公表された対応 事実
JSTによると、2026年7月28日に外部機関から同機構へ情報提供がありました。外部専門機関と連携して調査した結果、第三者による不正アクセスにより、一部役職員のメールボックスに保管されていたメールの一部が外部に漏えいした可能性があると判明しました。JSTは8月7日、公式サイトで「不正アクセスによる情報漏えいの可能性に関するお詫びとお知らせ」を公表しました。不正アクセスに悪用された経路はすでに遮断し、アクセス権限の無効化等の措置も実施済みとしています。本件は個人情報保護委員会へ報告済みで、関係省庁・警察とも連携して調査を続けています。不正アクセスの具体的な経路・原因は公表されておらず、報道でも今後の注目点とされています。
対象件数の推移と対象情報の範囲 事実
報道によると、8月7日の第1報では、役職員12名分のメールボックスに保管されていた約1万6,000件のメール情報が対象でした。そこに含まれる外部の連絡先メールアドレスは約1,300件、JST役職員のメールアドレスは約1,000件とされました。8月28日の更新では、メール情報が約18,000件、外部のメールアドレスが約1,400件、JST役職員のメールアドレスが約1,000件となりました。これらはいずれも「漏えいした可能性」のある件数（上限）で、流出が確定した件数は公表されていません。JSTは、不特定多数への公開や不正利用の事実は現時点で確認されていないとしています。メールの具体的な内容や、氏名・電話番号等その他の個人情報が含まれるかは、報道時点で明らかにされていません。
外部からの情報提供で発覚したことの意味 解釈
発覚のきっかけはJSTの監視ではなく、外部機関からの情報提供でした。このことは、メールボックスへの不正アクセスを組織内部の監視で捉えにくい可能性を示しています。一般に、メールの閲覧や取得は正規の利用と見分けにくく、認証を通過した後の操作はログに残っていても異常として扱われにくいとされます。JSTが再発防止策として「監視・検知の高度化」を挙げていることからも、検知面を課題として認識していると読み取れます。ただし、侵入日や、侵入から情報提供までの期間は公表されていません。そのため、検知が遅れたかどうかを外部から評価することはできません。外部機関がどのような経緯で事態を把握したのかも不明です。
メール漏えいがやり取り相手に及ぼしうる二次リスク 解釈
漏えいした可能性があるのはメール情報そのもので、外部のメールアドレス約1,400件が含まれます。一般にメールが漏えいすると、実際のやり取りの件名や文脈を流用した、なりすましメールの材料になりえます。JSTは大学・研究機関・企業など多くの外部関係者とやり取りしていると考えられます。受け手から見て「過去のやり取りの続き」に見えるメールは、疑いにくくなります。JSTは不正利用を確認していないとしていますが、受信側の組織でも念のため注意喚起や受信時の確認をする意味はあります。なお、お知らせ一覧には5月12日付「researchmapを装った不審なメールについて」、8月25日付と9月15日付の接続・アクセス不具合のお知らせも掲載されています。しかし、本件との関係は公表されておらず、結び付ける根拠はありません。
公表の進め方の評価 解釈
JSTは、情報提供から10日後の8月7日に第1報を出し、8月28日に対象件数を更新しました。調査中でも「可能性」の段階で公表し、件数の増加を続報で示した点は、確定を待たずに関係者へ注意を促す判断だったと読めます。一方で、侵入経路、侵入の時期と期間、メール内容の種類、外部の連絡先への個別連絡の有無は公表されていません。そのため、やり取り相手が自分のリスクを判断する材料は限られています。経路が非公表なのは、警察と連携した調査が続いているという事情による可能性もあります。今後、どの範囲を、いつ追加で説明するかが注目点です。
対応
- 封じ込め
- 不正アクセスに悪用された経路を遮断し、アクセス権限の無効化等の措置を実施済み。
- 公表の仕方
- 2026-08-07に公式サイトで「不正アクセスによる情報漏えいの可能性に関するお詫びとお知らせ」を公表。2026-08-28に対象件数を更新。原因究明を継続し、監視・検知の高度化など再発防止と情報セキュリティ対策の強化に努めるとしている。
- 当局対応
- 個人情報保護委員会（報告済み）
- 関係省庁・警察（連携して調査継続）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| メールボックスへの不正アクセスは、外部から指摘されるまで気付きにくい場合があります。本件も外部機関からの情報提供で発覚しました。 | メールボックスの監査ログを有効化し、保存期間を最低180日確保します（Microsoft 365ならMailItemsAccessedなど）。そのうえで、短時間での大量取得、通常と異なる国・IPからのログイン、IMAP/POPなど従来型プロトコルからのアクセスをSIEMで検知する仕組みを作り、アラートの担当者を決めておきます。 |
| 「経路の遮断」「アクセス権限の無効化」を確実に行うには、メールアカウント特有の永続化手段まで見る必要があります。 | 侵害が疑われるアカウントへの初動を手順書にまとめます。パスワードのリセット、全セッションと更新トークンの失効、アプリパスワードの削除、OAuthアプリへの同意の棚卸し、転送ルールや受信トレイルールの点検、委任アクセス権の確認までを含めます。 |
| 対象件数は調査の進行に応じて増えることがあります（約1万6,000件→約18,000件、外部アドレス約1,300件→約1,400件）。 | アクセスログから、対象メールの件数と含まれるアドレスを集計する手順を事前に用意しておきます。第1報では「上限（可能性）」と「確定」を分けて出し、更新の予定時期も示す公表用テンプレートを整えておきます。 |
| メールが漏えいすると、自組織だけでなく、やり取り相手が標的型メールの対象になるおそれがあります。 | 漏えいの可能性があるやり取り相手へ個別に連絡する文面と、通知リストを抽出する手順を用意しておきます。あわせて自ドメインにSPF/DKIM/DMARC（p=quarantine以上）を設定し、なりすまし送信を受信側で弾けるようにします。 |
| 外部機関からの通報を速やかに受け取り、初動へつなげる体制が被害の拡大を左右します。 | /.well-known/security.txt で通報窓口を公開します。通報を受けたらインシデント対応チームへ自動で連絡が回り、24時間以内にトリアージを始める運用を決め、年に1回は訓練します。 |
自組織などでの確認項目
- 自組織のメール基盤（クラウドメール・オンプレミスのメールサーバ）で、メールボックス単位の閲覧・取得ログが記録されているか。記録されている場合、何日分さかのぼって調べられるか。
- 特定の役職員のメールボックスから大量のメールが取得されたとき、それを検知してアラートを出すルールがあるか。そのアラートを誰が確認するかが決まっているか。
- 侵害が疑われるメールアカウントに対し、パスワード変更だけでなくセッション・トークンの失効、転送ルールや外部アプリ連携の点検までを含む手順書があるか。
- 外部機関や取引先から「御社の情報が漏れている」と通報を受けたとき、受付窓口と社内の連絡経路が決まっているか。
未解明点
- 不正アクセスの具体的な経路と原因（認証情報の悪用か、製品の脆弱性か、など）
- 侵入の時期と、不正アクセスが続いていた期間
- 漏えいした可能性のあるメールに、氏名・電話番号など、メールアドレス以外のどんな個人情報や業務情報が含まれていたか
- 外部の連絡先約1,400件の持ち主に個別の連絡を行うかどうか
- JSTに情報提供した外部機関がどこで、どのように事態を把握したか
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-12報道本文確認済
- 2ScanNetSecurity2026-08-31報道本文確認済
- 3国立研究開発法人科学技術振興機構（JST）2026-08-07公式本文確認済
- 4国立研究開発法人科学技術振興機構（JST）2026-09-15公式本文確認済