JAXA 不正アクセス事件（2023年）

1. 事件の概要

2023年、日本の宇宙開発を担うJAXA（宇宙航空研究開発機構）が、サイバー攻撃を受けていたことが明らかになりました。攻撃者は、外部から社内ネットワークにつなぐためのVPN機器の脆弱性を突いて侵入。しかも、ネットワークの中枢である認証管理サーバー（Active Directory）——「誰がどのシステムにアクセスできるか」を管理する“親玉”のサーバー——まで侵害されました。

さらに深刻だったのは、JAXA自身が攻撃に気づいておらず、警察からの連絡で初めて被害を知ったことです。国家の重要機関でさえ、侵入を長く見過ごしてしまう——「侵入を防ぐ」だけでなく「侵入されたことに気づく」ことの難しさを示しました。攻撃は一度で終わらず、2024年にかけて複数回にわたって侵害が続き、その中にはゼロデイ（未知の弱点）の悪用も含まれていました。

2. 被害の内容と規模

侵害された範囲

• 事務処理に使うネットワーク（JAXAnet）や、クラウドのMicrosoft 365で被害を確認。
• ネットワークの中枢である認証管理サーバー（Active Directory）まで侵害された。ここを取られると、多数のアカウント・システムが芋づる式に危険にさらされる。
• 個人情報や、業務上の機密情報が漏えいした可能性が公表された。
• 2023年夏の最初の侵害以降、2024年にかけて複数回の攻撃が続いた。

3. 原因と手口

①VPN機器の脆弱性

侵入口は、これまで見てきた多くの事件と同じくVPN機器の脆弱性でした。名古屋港、半田病院、イセトー——日本のサイバー被害で最も多い入口の一つです。VPN機器は「外と中をつなぐ扉」であり、その更新（アップデート）を怠ると、そこから侵入されます。

②「気づけなかった」検知の問題

JAXAは、自組織の監視では攻撃に気づけず、外部（警察）からの連絡で被害を知りました。攻撃者は、発覚を避けるために静かに活動します。「侵入されたことにいかに早く気づくか」という検知の力が不足していると、被害は深く・長くなります。

4. 対策と教訓

「防ぐ」と「気づく」の両面から、中小企業でも取り組める対策を整理します。

企業がとるべき対策

• VPN・ネットワーク機器を最新に保つ：脆弱性が公表されたら速やかに更新する。機器の管理台帳を作り「更新し忘れ」をなくす。
• リモート接続に多要素認証（MFA）を：脆弱性を突かれても、追加の本人確認で侵入を防ぎやすくする。
• 認証の中枢を特に厳重に守る：Active Directoryなど「大もとの鍵」を管理するサーバーは、アクセスを絞り、重点的に監視する。
• 「気づく」仕組みを持つ：不審な通信・ログインを検知・通知する仕組み（EDR・ログ監視など）を導入する。自力で気づけないと被害が長期化する。
• ログを取り、分離保管する：「誰が・いつ・何をしたか」を記録し、消されないよう別の場所に保存する。
• 外部からの通報を受ける窓口を用意する：警察や取引先からの連絡を受け、速やかに動ける体制を整える。

5. まとめ

JAXAの事件は、VPN機器の脆弱性から中枢の認証サーバーまで侵害され、しかも自力で気づけなかったという、二重の教訓を残しました。教訓は——VPNの更新と多要素認証、認証中枢の厳重な保護、そして“侵入に気づく”監視とログ。「防ぐ」だけでなく「気づく」備えを持つこと。これは国家機関にも中小企業にも共通する原則です。