原子力機構の研究支援サイトに不正アクセス、175人の身分証など流出

何が起きたのか

日本原子力研究開発機構は2026年10月1日、研究支援サイトへの不正アクセスで個人情報が漏れたと公表し、10月30日に数字を更新しました。

機構が契約するクラウド基盤の上で動くこのサイトは、原子力科学研究所（茨城県東海村）の研究用原子炉JRR-3を外部の人が使うときの手続に使われていました。利用者は2026年5月以降、身分証や健康診断の結果などをこのサイトにファイルとして登録していました。

経過は次のとおりです。

• 9月25日：不正アクセスを確認。登録ファイルのうち2,419件が外部から不正にダウンロードされていたことが分かり、同じ日に外部からのアクセスを止めた
• 9月29日：ダウンロードされたファイルの一部に個人情報が含まれていると確認
• 10月1日：公表
• 10月30日：公表後の精査で件数を更新

原因は発表文に書かれておらず、機構は究明を進めるとしています。侵入の経路もこの発表からは分かりません。

漏れた情報

2026年5月以降に利用者本人が登録した369ファイルで、175人分です。ダウンロードされた2,419件のうち、個人情報を含むものはその一部でした。

• 顔写真付きの公的な身分証明書の画像：200件（運転免許証、マイナンバーカード、パスポート、在留カード）
• 放射線業務の特殊健康診断の結果：146件
• 放射線業務従事者証明書：23件

1人が複数の項目に当てはまることがあるため、件数と人数の合計は一致しません。このうち7人分にはマイナンバーが含まれていました。

10月30日の更新で、ファイルは367から369に、マイナンバーを含む人は6人から7人に、従事者証明書は21件から23件に増えました。175人という人数は更新されていません。

漏れていないとされているのは、サイトの利用者アカウント（IDとパスワード）と、登録フォームに入力した氏名などの情報です。

身分証の画像には顔写真や番号が写っていて、パスワードのように取り替えることができません。このため、一度漏れると長く影響が残ります。

機構の対応

漏れた可能性のある本人には個別に通知して謝罪し、個人情報保護委員会、関係官庁、警察に報告や相談をしました。サイトは業務ネットワークから独立して運用しており、他のシステムに影響はないとしています。

具体的な再発防止策と、問い合わせ先は、この発表には書かれていません。

中小企業が学べること

預かったファイルは2,419件ありましたが、個人情報を含んでいたのはその一部でした。同じ場所に身分証が混ざると、サイト全体が守る対象になります。次の3点が、設定や運用の単位での対策になります。

• 本人確認書類や健康診断の結果は、通常のファイル置き場とは別の保管先に入れ、確認が済んだらすぐ消す。消す期限は、手続の流れの中に組み込む
• 申請用のサイトは、社内の業務ネットワークと切り離しておく。機構は、このサイトが独立していて他のシステムへの影響はないと説明しています
• ファイルをダウンロードした記録（いつ、どのアカウントが、どのファイルを）を残す。取られたものの範囲を後から絞れる