事案の概要データ
| 公表日 | 2026年11月6日 |
|---|---|
| 対象サービス | 「情報セキュリティ理解度チェックサービス」 |
| 件数 | 最大15,128件 |
| 漏えいの可能性がある情報 | 管理者の氏名・企業名・メールアドレス、利用者のID・ハッシュ化されたパスワードなど |
| 不正アクセスの時期 | 2026年10月30日夜頃からの可能性 |
| 運営 | 特定非営利活動法人 日本ネットワークセキュリティ協会（JNSA） |
| 状態 | 調査中 |
図解：この事故の構造
何が起きたのか
特定非営利活動法人 日本ネットワークセキュリティ協会（JNSA）は2026年11月6日、同協会が運営する「情報セキュリティ理解度チェックサービス」が第三者による不正アクセスを受け、最大1万5,128件の個人情報が漏えいした可能性があると公表しました。
対象は、管理者の氏名・企業名・メールアドレスと、利用者のID・ハッシュ化されたパスワードなどです。不正アクセスは2026年10月30日夜頃からの可能性があるとされています。
このサービスは、企業が従業員のセキュリティ意識を測るために使う、Web上のテストです。つまり、情報セキュリティを教える側の仕組みが破られたことになります。
「セキュリティの専門団体でも起きる」をどう受け止めるか
率直に言えば、皮肉な事案です。しかし、笑って済ませる話ではありません。
本サイトが伝えたいのは、次のことです。「ちゃんとしている会社なら起きない」というのは、誤解です。
2026年10月から11月にかけて、本サイトはセキュリティに近い立場の組織の事案を続けて扱ってきました。デジタルアーツ（セキュリティ製品メーカー）、エムオーテックス／LANSCOPE（資産管理ソフト）、そして本件です。
なぜ起きるのか。理由は単純です。攻撃は「弱いところ」ではなく「入れるところ」から入るからです。本体のシステムが堅牢でも、周辺のサービス、古い検証環境、外部に公開しているツールが1つ空いていれば、そこが入口になります。
中小企業の経営者が、この事案から引き出せる実用的な結論は2つです。
①「うちは小さいから狙われない」も「対策しているから大丈夫」も、どちらも成り立たない。 攻撃は自動化されていて、相手を選んでいません。
②だから、起きた後の備えに意味がある。 止める判断、連絡先の一覧、顧客への案内文のひな形。これらは、防ぐ対策より安く、確実に効きます。
そして、公表したこと自体を評価すべきです。業界団体という立場で、自分の事故を出すのは簡単ではありません。公表しなければ、誰も学べません。
「ハッシュ化されたパスワード」でも変えるべき理由
本件では、利用者のIDとハッシュ化されたパスワードが対象になっています。
ハッシュ化とは、パスワードを元に戻せない形に変換して保存する仕組みです。正しく実装されていれば、そのままログインには使えません。
それでも、変えてください。 理由は3つあります。
①方式が分からない。 古い方式（MD5、SHA-1など）や、ソルトと呼ばれるひと工夫がない場合、よくあるパスワードは照合であっさり割り出されます。公表文では方式まで明かされないのが普通です。
②IDとセットで漏れている。 「このIDの人は、このパスワード」という組み合わせが推測できれば、他のサービスで試されます（パスワードリスト攻撃）。
③業務で使うアカウントである。 このサービスの利用者は、企業の従業員です。会社のメールアドレスをIDにしている可能性が高く、そうであれば、同じアドレスで使っている他の業務サービスが狙われます。
企業の管理者の方は、次の順でお願いします。①このサービスのパスワードを変更する。②同じパスワードを社内の他システムで使っている人がいないか、注意喚起する。③会社のメールアドレスに、普段と違うログイン通知が来ていないか確認する。
そして、本サイトで繰り返している一文を、あらためて。パスワードの使い回しは、1つの事故を全部の事故に変えます。
時系列で見る経過
- 2026年10月30日 夜頃「情報セキュリティ理解度チェックサービス」への不正アクセスが始まった可能性
- 2026年11月6日JNSAが公表。最大15,128件の個人情報が漏えいした可能性
- （調査中）影響範囲の特定が継続
中小企業が学ぶべきポイント
- 情報セキュリティを教える側の仕組みが破られた。「ちゃんとしている組織なら起きない」は誤解。
- 攻撃は「弱いところ」ではなく「入れるところ」から入る。周辺サービスや古い検証環境が入口になる。
- 「小さいから狙われない」も「対策しているから大丈夫」も成り立たない。攻撃は自動化され相手を選ばない。
- 防ぐ対策より、起きた後の備え（止める判断・連絡先一覧・案内文のひな形）のほうが安く確実に効く。
- ハッシュ化されたパスワードでも変える。方式が分からず、古い方式なら割り出される。
- IDとセットで漏れると、他サービスで試される（パスワードリスト攻撃）。
- 業務サービスの利用者は会社のメールアドレスをIDにしていることが多く、他の業務システムに波及する。
- 業界団体が自分の事故を公表したこと自体は評価すべき。公表しなければ誰も学べない。
出典・参考
- 特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）に不正アクセス、最大1万5,128件の個人情報漏えいの可能性（セキュリティ対策Lab・2026年11月6日）
- 2026年11月の不正アクセス・情報漏えい（不正アクセス・情報漏えい事案一覧）
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。