日本原子力研究開発機構で不正ダウンロード、175人・367ファイルが対象

事案の概要データ

図解：この事故の構造

何が起きたのか

日本原子力研究開発機構は2026年10月1日、研究用原子炉JRR-3に関連して不正なダウンロードが行われ、175人分・367ファイルが対象となったことを公表しました。

研究機関が持つ情報の二面性

研究機関が扱う情報には、2つの側面があります。1つは、研究者・利用者の個人情報。もう1つは、研究データそのものです。

原子力分野のように、安全保障や国際的な規制に関わる分野では、後者の重要性が特に高くなります。2023年のJAXA（ネットワークの中枢サーバが侵害）も、経済安全保障の観点から注目されました。

この事案は「不正ダウンロード」とされており、正規のアクセス権を持つ者による持ち出しの可能性があります。外部からの侵入とは異なり、システムから見れば正規の操作に見えるため、検知が困難です。

大量ダウンロードを検知する

内部からの持ち出しに対して有効なのは、「普段と違う量のアクセス」を検知する仕組みです。

1人の利用者が、通常は1日数ファイルしか開かないのに、ある日367ファイルをまとめてダウンロードした——これは明らかに異常です。この種のパターンを検知できれば、持ち出しの最中に止められます。

2023年のNTT西日本子会社の事案（元派遣社員が約900万件を持ち出し）では、大量持ち出しが長期間検知されませんでした。逆に2026年9月のデジタル庁GSSでは、「保守運用担当者アカウントによる大量ファイルアクセス」の検知がきっかけで発覚しています。

中小企業でも、ファイルサーバのアクセスログを月1回眺めるだけで、異常に気づける可能性があります。完璧な仕組みがなくても、見る習慣があることに意味があります。

時系列で見る経過

• 2026年9月〜10月研究用原子炉JRR-3に関連する不正なダウンロードが行われる
• 2026年10月不正ダウンロードを把握し、調査を開始
• 2026年10月1日175人・367ファイルが対象であることを公表

中小企業が学ぶべきポイント

1. 「普段と違う量のダウンロード」を検知する仕組みを持つ。内部不正対策の要。
2. ファイルサーバのアクセスログを定期的に見る習慣をつける。月1回でも効果がある。
3. 正規の権限を持つ人の操作は、システムからは正常に見える。だから人の目が要る。
4. 研究データ・技術情報は、個人情報とは別に保護レベルを設定する。

出典・参考

• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope