日本商工会議所のネット試験に不正アクセス、受験者最大約98万人分

日本商工会議所は2026年11月10日、商工会議所ネット試験で使う外部のサーバー（試験管理システム）が不正アクセスを受け、受験者の情報が漏えいした可能性があると公表しました。対象は2022年4月1日から2026年11月4日までにネット試験を受けた人で、最大約98万人分（約197万件）です。簿記や日商PCを社員に受けさせている会社では、社員の氏名や得点が含まれている可能性があります。漏えいや不正利用の事実は現時点で確認されていません。

発覚から公表までの流れ

• 11月1日：試験管理システムに不正なプログラム（不正ファイル）が置かれる
• 11月4日：システム管理会社からの報告で不正アクセスを確認。すぐに不正ファイルを削除し、同日の深夜に脆弱性対策としてパッチを当てる
• 11月9日：調査の結果、最大約98万人分の受験者情報が漏えいした可能性があると判明し、同日に個人情報保護委員会へ報告
• 11月10日：公表

不正ファイルが置かれてから見つかるまでは3日でした。不正アクセスを見つけて報告したのは、システムを管理する会社です。管理会社の名前と、どの脆弱性が使われたかは公表されていません。

対象となる受験者と情報

試験管理システムは試験の予約と受験結果の管理に使うもので、一般の受験者はアクセスしません。対象の試験は簿記、リテールマーケティング（販売士）、日商PC、電子会計実務、キータッチ2000、ビジネスキーボード、日商プログラミング、日商ビジネス英語の8つです。

漏えいした可能性がある項目は、氏名、フリガナ、性別、生年月日、合否結果、試験得点です。任意の項目としてメールアドレス、電話番号、住所を入力した人は、その情報も含まれます。件数が人数より多いのは、複数の試験を受けた人がいるためと説明されています。クレジットカードの情報など、決済に使う情報は含まれていません。

日本商工会議所の対応

不正ファイルを削除してパッチを当て、個人情報保護委員会に報告しました。脆弱性対策は終わったとして、ネット試験はこれまでどおり受けられます。侵入の詳しい経路と、今後の再発防止策は、公表の時点では示されていません。

受験者には日本商工会議所や関係先を装ったメール、SMS、電話、郵便物に注意するよう呼びかけています。身に覚えのないメールやSMSのリンクや添付ファイルを開かないこと、不審なサイトにパスワードやカード番号を入力しないこと、不審な電話や郵便物に応じないことも求めています。日本商工会議所がメールやSMS、電話でパスワードやカード番号を尋ねることはないとも説明しています。問い合わせの窓口は事業部の電話と専用のフォームです。

受験した社員に伝えること

氏名、生年月日、合否、得点がそろうと、受験した本人あての偽の連絡がもっともらしく作れます。試験の結果や受験の手続きを話題にしたメールやSMSは、本物らしく見えやすくなります。資格の取得を会社で勧めている場合は、2022年4月以降にネット試験を受けた社員に今回の件を伝え、試験の関係を名乗る連絡が来たら、リンクを開かずに公式サイトや窓口で確かめるよう案内してください。申し込みのときに会社のメールアドレスや電話番号を入れていた社員がいれば、会社に届く連絡にも注意が要ります。

中小企業が学べること

今回は、外部のサーバーを管理する会社が不正ファイルに気づいて報告したところから、対応が始まりました。自社のシステムの管理を外部に任せている場合も、異常に気づいたときに委託先が誰に、いつまでに、何を知らせるかを契約や手順書で決めておくと、確認から報告までが早くなります。委託先に確かめておきたい項目はシステムの委託先に聞くべき5つのことにまとめています。

日本商工会議所は、漏えいの可能性が分かった11月9日のうちに個人情報保護委員会へ報告しています。漏えいが確定する前の「おそれ」の段階でも、報告の対象です。報告の期限と中身は個人データが漏れたときの報告 速報は3〜5日、確報は30日で取り上げています。