情報セキュリティの業界団体である日本ネットワークセキュリティ協会（JNSA）は2026年11月6日、同協会が運営する「情報セキュリティ理解度チェックサービス」が第三者による不正アクセスを受け、利用者の個人情報が漏えいした可能性があると発表した。対象は最大1万5,128件と見込まれている。JNSAは「日本のセキュリティレベルを向上させるべき協会でありながら」と述べたうえで謝罪している。
10月30日夜から不正アクセスの可能性、11月4日に確認
JNSAの発表（第一報）によると、11月4日にサービスへの不正アクセスを確認した。これまでの調査では、不正アクセスは10月30日の夜ごろから行われていた可能性があるという。詳しい侵入経路と影響範囲については、調査を続けている。
発覚後、被害の拡大を防ぐためにサービスを停止し、外部の専門事業者の協力を得て、原因の究明と影響範囲の特定を進めている。11月6日に個人情報保護委員会へ報告する予定としている。
管理者の氏名や企業名、利用者のIDとハッシュ化パスワードが対象
このサービスは、組織の管理者が社員や職員を受講者として登録し、情報セキュリティに関する問題を解かせて、組織全体の知識レベルを把握するためのものである。管理者以外の受講者は、個人名を使わずに受講者IDなどで管理できる。
漏えいした可能性がある情報は、これまでに管理者として登録した人や利用者に関する、次の情報である。
- 管理者の氏名、企業名、メールアドレス
- 組織の所在地、従業員数、業種
- 利用ユーザー数
- 利用者のIDとパスワード（パスワードはハッシュ化＝元の文字列に戻しにくい形に変換して保存）
対象件数や影響範囲は今後変わる可能性がある。漏えいの可能性が確認された利用者には、対象者の特定が終わり次第、個別に連絡するとしている。
管理者情報を悪用したなりすましメールに注意
今回の対象には、管理者の氏名や企業名、メールアドレスに加えて、組織の所在地、従業員数、業種も含まれる。サービスの管理者の名前と連絡先が分かれば、協会や関係機関を名乗ったもっともらしいメールを送ることができる。JNSAも、協会や関係機関になりすましたメールに注意するよう呼びかけ、メール本文のURLからIDやパスワードの入力や変更を求めることはないとしている。
パスワードはハッシュ化されているとはいえ、同じパスワードをほかのサービスでも使っている場合は、念のため変更しておくのが安全である。
社員教育や評価のために外部のWebサービスを使う企業は多い。そこに登録する管理者情報や組織情報も、自社の外に置いた情報資産の一部として把握しておく必要がある。セキュリティの専門団体であっても被害を受けうることを示した今回の事案は、外部サービスに預けている情報を改めて棚卸しするきっかけになる。
同じ手口に、自社は備えられていますか？