JNSAの情報セキュリティ理解度チェックサービスへの不正アクセス
日本ネットワークセキュリティ協会（JNSA）の2026年11月6日の第一報によると、協会が運営する情報セキュリティ理解度チェックサービスが第三者から不正アクセスを受け、利用者の個人情報が漏えいした可能性があり、対象者は最大15,128件と見込まれる［1］。JNSAは被害の拡大を防ぐためにサービスを止め、外部専門事業者の協力を得て原因と影響範囲を調べている［1］。
経緯
JNSAの第一報では、サービスへの第三者による不正アクセスを確認したのは11月4日である［1］。その後の調査で、不正アクセスは10月30日夜頃から行われた可能性があることが分かった［1］。
影響範囲
第一報の参考の説明では、このサービスは、組織の管理者が受講者（社員・職員）を事前に登録し、情報セキュリティの問題をサイト上で受講させて結果を分析できるものである［1］。管理者以外の受講者は、個人名を使わずに「受講者ID」などで管理できる［1］。JNSAの年表には、情報セキュリティ理解度チェックサイト（管理者版）を2008年7月に公開したとある〔注1〕［3］。国家サイバー統括室のポータルは、費用を無料とし、管理者は同業種の中でのランキングも知ることができると紹介している［4］。
漏えいしたと見込まれるのは、これまでに管理者登録された人と利用ユーザの情報である［1］。JNSAが挙げた項目は管理者氏名、管理者企業名、管理者メールアドレス、組織所在地・従業員数・業種、利用ユーザ数、利用者のID/PWだ［1］。パスワードはハッシュ化されている［1］。JNSAは調査を続けており、対象件数や影響範囲は今後変わる可能性があると説明した［1］。
対応と現状
第一報では、漏えいの可能性が確認された利用者には、対象者の特定が終わり次第、個別に連絡する予定である［1］。個人情報保護委員会へは11月6日に報告する予定とした［1］。
JNSAは、メールアドレスなどが漏えいした場合に、JNSAや関係機関になりすましたメールが送られる可能性があると説明した［1］。メール本文でURLのリンクを示して、IDやパスワードの入力や変更を求めることはないとした［1］。不審なメールを受け取ったときは、本文中のリンクや添付ファイルを開かず、送信元を確かめるよう求めた［1］。
未公表の事項
- 詳細な侵入経路（JNSAは引き続き調べていると説明した［1］）
- 最大15,128件の、管理者と利用ユーザの区分ごとの内訳と人数
- パスワードのハッシュ化の方式
- サービスの再開の時期
- なりすましメールの受信など二次被害の有無
注
- 〔注1〕JNSAの受講結果分析コラムは、理解度チェックのサイトが同じ年の2月1日にオープンしたと書いている［2］。
出典
当事者
- ［1］特定非営利活動法人日本ネットワークセキュリティ協会『不正アクセスによる「情報セキュリティ理解度チェックサービス」からの利用者個人情報漏えいの恐れに関するお知らせ（第一報）』（2026年11月6日公開、PDF）
背景資料
- ［2］特定非営利活動法人日本ネットワークセキュリティ協会『情報セキュリティ理解度チェックサイトの受講結果分析コラム』（2011年3月31日公開）
- ［3］特定非営利活動法人日本ネットワークセキュリティ協会『JNSAセキュリティ年表』（2024年5月7日公開）
- ［4］内閣官房国家サイバー統括室『情報セキュリティ理解度チェック（JNSA）』（公開日不明、2026年11月7日閲覧）
更新記録
- 2026年11月7日：公開した。