JNSAの理解度チェックに不正アクセス、最大1万5,128件

何が起きたのか

日本ネットワークセキュリティ協会（JNSA）は2026年11月6日、運営する情報セキュリティ理解度チェックサービスが不正アクセスを受けたと第一報で公表しました。

このサービスは、組織の管理者が社員や職員を受講者として登録し、サイト上でセキュリティの問題に答えてもらい、結果を分析するものです。管理者以外の受講者は、個人名を使わず、受講者IDなどで管理することもできます。

経過は次のとおりです。

• 10月30日の夜ごろ：不正アクセスが行われた可能性があります
• 11月4日：協会が不正アクセスを確認しました
• 11月6日：個人情報保護委員会へ報告する予定として、第一報を公表しました

詳しい侵入経路と影響の範囲は調査中です。

漏れた情報

対象は最大1万5,128件と見込まれています。調査の途中なので、件数は変わる可能性があります。漏えいした可能性があるのは、これまで管理者として登録した人と、利用ユーザの情報で、項目は次のとおりです。

• 管理者の氏名、企業名、メールアドレス
• 組織の所在地、従業員数、業種
• 利用ユーザ数
• 利用者のIDとパスワード

パスワードはハッシュ化されています。ハッシュ化は、元の文字列に戻せない形に変える処理です。ただし、単純なパスワードは、別の方法で当てられることがあります。

第一報では、1万5,128件のうち管理者と利用者がそれぞれ何件かは書かれていません。

協会の対応

協会は不正アクセスを確認したあと、対象のサービスを止め、外部の専門事業者の協力を得て、原因と影響の範囲を調べています。漏えいの可能性が確認された利用者には、対象者を特定でき次第、個別に連絡します。問い合わせは、協会のメールの窓口で受けています。

協会や関係機関になりすましたメールが送られる可能性があるとして、メール本文のリンクや添付ファイルを開かず、送信元を確かめるよう呼びかけています。協会がメール本文にURLを示して、IDやパスワードの入力や変更を求めることはないとしています。新しいことが分かれば、協会のWebサイトで知らせます。

中小企業が学べること

社員教育の外部サービスにも、会社名と担当者のメールアドレス、従業員数のような情報が残ります。登録するときは、受講者に個人名を使わず、IDで管理できる形があるかを確かめると、漏れたときの影響が小さくなります。このサービスにも、そうした管理の方法があります。

漏れた可能性のあるものにはIDとパスワードが入っています。同じパスワードを社内のシステムや別のサービスで使っていると、ほかの場所に入られる材料になります。外部サービスのパスワードは、使い回さない形にしてください。パスワードを覚えなくて済む手段としてパスキーの始め方 まず管理者のアカウントからも参考になります。

運営元を名乗るメールが、IDやパスワードの入力を求めてきたら、入力せずに、サービスの公式のサイトを自分で開いて確かめるよう、社員に伝えておきます。