NECネクサソリューションズ委託先ジェイマックソフトへの不正アクセス（JICA派遣システムに波及、漏洩の可能性は極めて低いと公表）
公表日
システム開発会社ジェイマックソフトのファイルサーバが外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、JICAの派遣システムに関わる個人情報も保管されていた。JICAは持ち出しの記録は確認されず、漏洩の可能性は極めて低いと公表している。
対象者は？
JICA事業のために過去に海外出張・赴任した、短期渡航（1年未満）の直営短期専門家／調査団／緊急援助隊等、直営長期専門家（1年以上）、在外赴任職員・企画調査員・健康管理員。要配慮個人情報は含まれていない。JICA海外協力隊と、JICAと法人／団体との契約に基づき派遣された人は対象外。人数はまだ発表されていません。
JICAは関係する方々に可能な限り連絡を行っている。心当たりがある場合は、JICAの問い合わせ窓口（電話 03-5226-6660〜6663、平日9:30〜17:45）に連絡する。
いますぐできること
- 対象の区分に当てはまる心当たりがあれば、JICAからの連絡が届いていないか確認する。
- 不明な点があれば、JICAの問い合わせ窓口（電話 03-5226-6660〜6663、平日9:30〜17:45）に相談する。
何が起きたのか
2025年12月19日、NECネクサソリューションズは、システム開発・保守を任せているジェイマックソフトのファイルサーバの一部が、外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けたと発表した。同じ日、JICAも、派遣システムの再委託先であるジェイマックソフトのサーバが不正アクセスを受けたと発表した。ジェイマックソフトは警察に相談し、社内の全システムを外部から切断した。NECグループのセキュリティ専門部門も加わって調べている。
なぜ起きたのか・なぜ広がったのか
侵入された日や入り口、原因は、まだ発表されていません。公表されているのは、JICAからNECネクサソリューションズへ、さらにジェイマックソフトへと仕事が引き継がれる関係の中で、ジェイマックソフトのサーバが対象になったという事実です。
いまの状況2026-01-08 時点続報待ち
2026年1月8日時点の報道では、個人情報が外部に送られたことを裏付ける技術的な証拠は確認されていないとされている。持ち出しの操作を示す記録も確認されておらず、JICAは漏洩の可能性は極めて低いとしている。NECネクサソリューションズ側の開発環境では不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。は確認されていない。対象となる情報の件数、侵入の経緯、補償、再発防止策の詳細は、まだ発表されていません。
企業として考えたいこと
自社の仕事を任せている会社や、その先の再委託先は、どんな個人情報をどこに保管していて、問題が起きたときに持ち出しの有無を確かめられるだけの記録を残していますか。
技術的な要約
NECネクサソリューションズは2025年12月19日、システム開発・保守を委託するジェイマックソフトが運用するファイルサーバの一部が外部から不正アクセスを受けたと公表した。同日、JICAも派遣システムの再委託先であるジェイマックソフトのサーバへの不正アクセスを公表した。ジェイマックソフトは警察に相談し、全システムを外部から切断して、NECグループのセキュリティ専門部門も加わり調査した。個人情報の外部送信を裏付ける技術的証拠や持ち出し操作を示す記録は確認されておらず、JICAは漏洩の可能性は極めて低いとしている。NECネクサソリューションズ側の開発環境で不正アクセスは確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明不明。公表されているのは、ジェイマックソフトが運用するファイルサーバの一部が外部から不正アクセスを受けたという事実のみ。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止の公表はない。ジェイマックソフトは社内の全システムを外部から切断した。NECネクサソリューションズ側の開発環境では不正アクセスは確認されていない。
- データ
- おそれ上限 —確定 —その他件数は非公表。サーバ内の個人情報は、過去にJICA事業で海外出張・赴任した短期渡航者（直営短期専門家／調査団／緊急援助隊等）、直営長期専門家、在外赴任職員・企画調査員・健康管理員がJICAに提出した項目。要配慮個人情報は含まれない。JICA海外協力隊および法人／団体との契約に基づく派遣者は対象外。持ち出し操作の記録や外部送信の技術的証拠は確認されていない。
- 波及先
- —
- JICA（派遣システムの再委託先として）
- 金銭影響
- —
- サプライチェーン
- ジェイマックソフトはNECネクサソリューションズのシステム開発・保守の委託先で、JICA派遣システムの再委託先でもある。同社サーバへの不正アクセスがNECネクサソリューションズとJICAの公表につながった。
時系列
- 2025-12ジェイマックソフトが不正アクセスを検知し、警察に相談。社内の全システムを外部から切断し、NECグループのセキュリティ専門部門も加わって調査した（具体的な日付は非公表）。1
- 2025-12
- 2025-12-19
- 2025-12-19
- 2025-12-19JICAが、持ち出し操作の記録は確認されず漏洩の可能性は極めて低いとの委託先報告を公表。4
- 2025-12-19JICAが、対象者の範囲（短期渡航者、直営長期専門家、在外赴任職員等）と問い合わせ窓口を案内。関係者へは可能な限り連絡している。4
- 2025-12-22セキュリティ対策Labが、NECネクサソリューションズの再委託先での不正アクセスとJICAへの影響を報道。1
- 2026-01-07ScanNetSecurityが、個人情報の外部送信を裏付ける技術的証拠は確認されていないと報道。2
- 2026-01-08ScanNetSecurityが、JICAの再委託先への不正アクセスと、漏えいの可能性は極めて低いことを報道。3
技術解説
公表された事実の整理（委託の連鎖と初動） 事実
NECネクサソリューションズは2025年12月19日、システム開発・保守を委託するジェイマックソフトが運用するファイルサーバの一部が外部から不正アクセスを受けた事実が判明したと公表した。同日、JICAも、派遣システムの開発・管理を委託しているNECネクサソリューションズの再委託先、ジェイマックソフトのサーバが第三者から不正アクセスを受けたと公表した。ジェイマックソフトは警察に相談し、社内の全システムを外部から切断した。NECグループのセキュリティ専門部門も加わって調査した。検知後は、外部からのアクセスを制限するなどの対策を実施済みとされる。
対象となる情報と漏洩に関する公表内容 事実
JICAによると、サーバ内の個人情報は、過去にJICA事業のために海外出張・赴任した人が提出した項目である。対象は短期渡航（1年未満）の直営短期専門家／調査団／緊急援助隊等、直営長期専門家（1年以上）、在外赴任職員・企画調査員・健康管理員。要配慮個人情報は含まれず、JICA海外協力隊と法人／団体との契約に基づく派遣者は対象外とされた。委託先の調査では、外部への持ち出し操作を示す記録は確認されておらず、JICAは漏洩の可能性は極めて低いとの報告を受けている。NECネクサソリューションズは、外部送信を裏付ける技術的証拠は確認されていないと説明し、同社側の開発環境で不正アクセスは確認されていないとした。
多層委託が公表を二系統に分けた構造（解釈） 解釈
JICAからNECネクサソリューションズへの委託、さらにジェイマックソフトへの再委託という三層の関係があり、同じ不正アクセスがNECネクサソリューションズとJICAの二つの公表として現れたと考えられる。個人情報を実際に保管していた末端の委託先で問題が起きると、発注元は自社環境に異常がなくても説明が必要になる。今回、NECネクサソリューションズ側の開発環境に不正アクセスがないことが明記されたのは、影響範囲の切り分けを示す意図があったと読める。ただし侵入口や侵入日が公表されていないため、再委託先の環境が持つ管理上の特性までは判断できない。
公表内容の評価と、読み取れない部分（解釈） 解釈
公表は対象者の範囲を職種・渡航期間で具体的に示し、対象外の区分や要配慮個人情報の有無も明記している点で、当事者が自分の該当性を判断しやすい。問い合わせ窓口の案内や、関係者への可能な限りの連絡も確認できる。一方、漏洩の可能性が極めて低いとの判断は、持ち出し操作の記録が確認されていないことに基づく。記録が確認されていないことと、持ち出しがなかったことは同じ意味ではない。件数、侵入日、侵入口、ログの保全範囲などは示されておらず、評価はこの範囲に限られる。今後の続報で、判断根拠の詳細が補われるかが焦点になる。
対応
- 封じ込め
- ジェイマックソフトは警察に相談し、社内の全システムを外部から切断した。NECグループのセキュリティ専門部門も加わって調査し、外部からのアクセスを制限するなどの対策を実施済み。
- 公表の仕方
- 2025年12月19日にNECネクサソリューションズとJICAがそれぞれ公表。JICAは対象者の範囲を示し、関係者に可能な限り連絡して問い合わせ窓口（電話 03-5226-6660〜6663、平日9:30〜17:45）を案内した。
- 当局対応
- 警察（ジェイマックソフトが相談）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 再委託先が保持する個人情報も、発注元の事業リスクに含まれる。 | 委託・再委託先ごとに、保管している個人情報の項目、件数、保存場所を台帳化し、年1回以上更新する。契約に再委託先の事前承認とインシデント報告期限（例：検知後24時間以内）を盛り込む。 |
| 不要になった過去の個人情報がファイルサーバに残り続けると、影響範囲が広がる。 | 案件終了後の個人情報の削除または退避の期限を決め、ファイルサーバのフォルダ単位で保管期限メタデータを付ける。定期スクリプトで期限超過ファイルを一覧化し、削除承認フローに乗せる。 |
| 漏洩の有無の判断は、持ち出しを示すログが残っているかに左右される。 | ファイルサーバのアクセス監査（読み取り・コピー・圧縮の記録）とFW/プロキシの送信ログを、侵害調査に足る期間（目安は12か月）保管する。ログは書き換え不能なストレージに転送する。 |
| 検知後に全システムを外部から切断する判断を、迷わず実行できる体制が被害の拡大を抑える。 | 外部接続の遮断手順（VPN、リモート保守回線、クラウド連携の停止順序）をランブック化し、年1回の机上訓練で所要時間を計測する。遮断の承認者と代理者を明記する。 |
| 発注元と委託先が早期に共同調査できる関係を、平時に作っておく。 | 委託契約にフォレンジック調査への協力義務とログ提供範囲を定める。連絡先は24時間つながる経路で相互に登録し、四半期ごとに疎通確認する。 |
自組織などでの確認項目
- 自社の委託先・再委託先のうち、個人情報を保管しているところはどこで、その件数や保管期間を把握できているか。
- 自社が委託先で不正アクセスを受けたとき、持ち出しの有無を判断するためのログが、何か月分、どこに保管されているか。
- 再委託先で問題が起きた場合、発注元として公表する際に、対象者の範囲と問い合わせ窓口を同日に示せる準備があるか。
未解明点
- ジェイマックソフトへの侵入日、侵入口、検知の経緯は公表されていない。
- サーバ内の個人情報の件数や、対象者の人数は公表されていない。
- 持ち出し操作の記録が確認されていないとの判断が、どの範囲のログや調査に基づくのかは示されていない。
- 攻撃者の特定や、再発防止策の詳細、NECネクサソリューションズ自身の公式発表の全文は、確認できる範囲に含まれていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-22報道本文確認済
- 2ScanNetSecurity2026-01-07報道本文確認済
- 3ScanNetSecurity2026-01-08報道本文確認済
- 4独立行政法人国際協力機構（JICA）2025-12-19公式本文確認済