国立研究開発法人日本原子力研究開発機構（JAEA）は2026年10月1日、研究用原子炉「JRR-3」の外部利用者向けに運用している研究支援サイトが不正アクセスを受け、利用者175人分の個人情報が外部に漏えいしたと発表した。漏えいした情報には、運転免許証やマイナンバーカードなど顔写真付きの公的身分証明書の画像200件に加え、放射線業務に従事する人向けの特殊健康診断の結果146件が含まれる。サイトはクラウド基盤上で運用されており、機構の業務ネットワークからは独立しているため、他のシステムへの影響はないとしている。不正アクセスの原因は現在も究明中である。
クラウド上の研究支援サイトから2,419件のファイルが持ち出された
問題のサイトは、原子力科学研究所（茨城県東海村）にある研究用原子炉JRR-3を外部の利用者が使う際に、構内への入構や放射線管理などの手続きを行うためのものである。JAEAが契約するクラウド基盤上で運用されていた。
公表された経緯は次のとおりである。
- 2026年9月25日：研究支援サイトへの不正アクセスを確認。サイトに登録されていたファイルのうち2,419件が外部から不正にダウンロードされていた。同日中にサイトへの外部からのアクセスを停止した
- 2026年9月29日：ダウンロードされたファイルの一部に個人情報が含まれていることを確認
- 2026年10月1日：漏えいを公表
一方で、利用者のアカウント情報（ID、パスワード、登録フォームに入力した氏名など）は漏えいしていないという。被害は、利用者がサイトに添付した書類ファイルに集中した形である。
漏えいしたのは身分証の画像と放射線業務の健康診断結果
漏えいが確認されたのは、2026年5月以降に利用者本人が登録したファイル367件（175人分）である。内訳は以下のとおり。
- 顔写真付きの公的身分証明書の画像（運転免許証、マイナンバーカード、パスポート、在留カード）：200件。このうち6人分にはマイナンバーが含まれていた
- 特殊健康診断（放射線業務）の結果：146件
- 放射線業務従事者証明書（利用者の所属機関が提出した書類）：21件
1人が複数の書類を登録している場合があるため、ファイルの件数（367件）と人数（175人）は一致しない。
JAEAは、漏えいの対象となった利用者に個別に連絡して謝罪しているほか、個人情報保護委員会や関係官庁、警察に報告・相談したとしている。侵入の手口や、ファイルが外部からダウンロードできた原因は公表されておらず、今後、原因の究明と再発防止策の検討を進めるという。
ネットワークの分離だけでは保存データは守れない
今回の事案で注目すべきは、被害がアカウント情報ではなく、手続きのために利用者がアップロードした書類そのものに及んだ点である。本人確認書類の画像は、氏名や生年月日、顔写真などがまとまった情報であり、なりすましによる口座開設や契約などに悪用されるおそれがある。健康診断の結果やマイナンバーは、法令上も特に慎重な取り扱いが求められる情報である。
JAEAはサイトが業務ネットワークから独立していたことを説明している。ネットワークを分けることは、侵入が組織の内部へ広がるのを防ぐうえで有効な対策である。しかし、外部に公開されたサイトに機微な書類が蓄積されていれば、そのサイト単体が侵害されるだけで重大な漏えいにつながる。分離は被害の拡大を抑える対策であり、そこに保存されたデータを守る対策ではない。
手続きの受付や申請をWebで行う組織は多い。今回の事案は、次のような点を見直すきっかけになる。
- 手続きに必要な書類は、用が済んだ時点で削除する、あるいは公開領域の外に移すなど、保管期間と保管場所を決めているか
- クラウド上のファイル保管領域について、アクセス権限や公開設定を定期的に点検しているか
- 短時間に大量のファイルがダウンロードされるといった異常な動きを検知し、すぐに対応できる監視体制があるか
外部公開のシステムは、本体から切り離してあるという理由で安全と見なされ、監視や点検が後回しになりやすい。保存している情報の重さに見合った守り方ができているかを、改めて確認しておきたい。
同じ手口に、自社は備えられていますか？