JNSAの理解度チェックに不正アクセス、最大1万5,128件漏えいの可能性

最大1万5,128件が漏えいの可能性、受講者のIDも対象

11月6日、JNSAは不正アクセスの事実と、漏えいしたと見込まれる情報をPDFのお知らせで公表しました。漏えいした可能性があるのは、サービスを申し込んだ管理者の氏名や企業名、メールアドレスと、受講者のIDとハッシュ化されたパスワードです。 対象者は最大1万5,128件と見込まれています。

ただし、最大1万5,128件という数字は確定値ではありません。JNSAは調査を継続中で、対象件数や影響範囲が今後変わる可能性があるとしています。

国内企業が公表した情報漏えいの件数と原因は、時系列一覧にまとめています。

漏えいした可能性があるのはどんな情報？

JNSAが公表した情報は6種類で、管理者の連絡先と組織情報に加え、受講者がログインに使うIDとパスワードが含まれます。 パスワードは、ハッシュ化（元の文字列に戻せない形へ変換すること）された状態で保存されていました。

漏えいした可能性がある情報（JNSAの発表より）

誰の情報か	漏えいした可能性がある情報
サービスを申し込んだ管理者	氏名・企業名・メールアドレス
管理者が所属する組織	所在地・従業員数・業種・利用ユーザー数
サービスのユーザー	IDとパスワード（ハッシュ化済み）

管理者と受講者それぞれの件数や、パスワードをどの方式でハッシュ化していたかは、お知らせからは読み取れません。

情報セキュリティ理解度チェックサービスとは？

情報セキュリティ理解度チェックサービスは、社員や職員のセキュリティに対する意識と知識を高め、組織全体の知識レベルを客観的に把握するために、企業や団体が申し込むサービスです。つまり、組織管理者が社員を登録して情報セキュリティの問題に回答させ、結果を分析できる仕組みで、受講者は個人名を使わずIDで管理できます。

受講者は、管理者が事前に登録したIDでサイトに入り、問題に回答します。そのため、JNSAが公表した6種類の情報に受講者の氏名は入っておらず、受講者の情報で対象になるのはIDとパスワードです。

10月30日夜から侵入の可能性、11月4日にサービス停止

JNSAのお知らせは、これまでの調査をもとに、不正アクセスが10月30日夜ごろから行われた可能性を指摘しています。その後、JNSAが11月4日に不正アクセスを確認してサービスを停止し、2日後の11月6日に公表しました。

侵入から公表までの流れ（JNSAの発表より）

日付	起きたこととJNSAの対応
10月30日夜ごろ	不正アクセスが始まった可能性（調査で判明）
11月4日	不正アクセスを確認し、サービスを停止
11月6日	お知らせを公開し、個人情報保護委員会への報告予定を公表

侵入経路はまだ調査中

侵入経路や攻撃者、サービス再開時期は、11月6日時点でまだ分かっていない段階です。 JNSAは外部専門事業者の協力を得て、原因究明と影響範囲の特定を進めています。

また、JNSAは、国内のセキュリティ水準を高める立場にありながら被害を受けたとして、ユーザーと関係者に謝罪しました。調査で新たな事実が判明すれば、協会のWebサイトで速やかに公表する方針です。

個人情報保護委員会へ報告、対象者には個別に連絡

個人情報保護委員会は、個人情報の漏えいについて事業者から報告を受ける国の機関です。JNSAは11月6日付のお知らせで、同日に報告する予定だと説明しました。Security NEXTの11月9日の記事によると、JNSAは11月6日に報告しています。

漏えいの可能性がある人を特定する作業はまだ続いていて、JNSAは特定が完了し次第、対象者へ個別に連絡する予定です。 連絡の手段や時期は、現時点で公表されていません。

問い合わせ先は、JNSAのメール窓口（sec@jnsa.org）です。

JNSAを装うメールに注意

JNSAは、漏えいしたメールアドレスに、JNSAや関係機関になりすましたメールが届く可能性があると注意を呼びかけています。そのため、JNSAや関係機関の名前で届いたメールは、リンクや添付ファイルを開く前に送信元を確認しましょう。 今回は管理者の氏名と企業名もそろって漏えいの対象になったため、宛名や社名の入ったなりすましメールが届くことも考えられます。

JNSAを装うメールを受け取ったときの対応（JNSAの発表より）

届いたメール	取るべき対応
差出人や本文にJNSA・関係機関の名前がある不審なメール	本文のリンクと添付ファイルを開かず、送信元を確認する
本文のURLからIDやパスワードの入力・変更を求めるメール	JNSAのメールではないと判断し、入力しない

JNSAがメールでIDやパスワードの入力を求めることはない

JNSAは、IDやパスワードの入力・変更をメール本文中のURLリンクから求めることはないと明言しています。つまり、メール本文のリンクからパスワードの入力や変更を求めてくる時点で、JNSAを装った偽物と判断できます。

しかも、理解度チェックサービスは現在停止しているため、サービスへのログインを促すメールはそれだけで不自然です。

判断に迷うメールには返信せず、JNSAのメール窓口（sec@jnsa.org）へ問い合わせましょう。

同じパスワードを他サービスでも利用していれば変更しよう

同じパスワードを他サービスでも設定しているなら、ハッシュ化されていても、そのサービスのパスワードを変更しておくのが安全です。 IPA（情報処理推進機構）は、ID・パスワードが漏えいすると、第三者にアカウントへ不正ログインされるリスクがあるとしています。同じパスワードを使い回していれば、漏えいしたIDとパスワードで他サービスにも不正ログインされる恐れがあります。

JNSAはハッシュ化方式を公表していないため、漏えいしたパスワードがどこまで守られているかは外から判断できません。

理解度チェックサービスは停止中なので、まずは同じパスワードを設定している他サービスから変更を進めましょう。新しいパスワードは、長く複雑なものにするのが基本です。

社員教育に外部サービスを利用する担当者と受講者が取るべき対策

研修担当者は社外サービスに登録した社員情報とログを確認し、受講者は研修で使ったパスワードを他サービスで使わないようにしましょう。 今回、漏えいの可能性があるのは、会社がサービスを申し込む際に登録した管理者情報と、社員に割り当てられたIDとパスワードです。

研修担当者は登録先の外部サービスとログを点検しよう

社員教育のサービスもメールやクラウドと同じく会社情報を社外に預けるので、洗い出しとログ確認の対象に入れておきましょう。 IPAは、利用している外部サービスを洗い出し、ログを直近1か月から3か月へ広げて確認する手順を勧めています。

研修や検定を含む外部サービスを一覧にする

外部サービスはクラウドやVPNなど種類がさまざまで、部署単位で契約しているものもあります。人事や研修の担当部署が申し込んだ社員教育のサービスも、一覧に加えておきましょう。

ログイン失敗やログイン元の変化をログで確認する

ログで見るのは、ログイン失敗の量やログイン元のIPアドレスなど、普段との差です。確認する期間は直近1か月から始め、その後3か月へ広げます。

社員の登録は個人名よりIDを優先

外部の研修サービスに社員を登録する際は、個人名の代わりにIDで管理できるかを確認しておきましょう。漏えいが起きても、社外へ出る情報を減らせます。

受講者はパスワードを長く複雑にし、多要素認証も設定しよう

IDとパスワードが盗まれても、SMSや認証アプリの確認コードが無ければログインされないよう、研修以外のサービスでも多要素認証かパスキーを設定しておきましょう。

研修のパスワードは他サービスと分ける

研修サービスが多要素認証にもパスキーにも対応していなくても、他サービスと異なるパスワードにしておけば、漏えいの影響を研修サービスの中だけにとどめられます。長く複雑なパスワードを作るときは、パスワード生成ツールが便利です。

多要素認証を設定できるサービスは有効にする

多要素認証は、パスワードに加えてSMSや認証アプリに届く確認コードでも本人かどうかを確かめる仕組みです。パスワードが漏えいしても、確認コードを持たない第三者はログインしにくくなります。

パスキーに対応したサービスは切り替える

パスキーは、パスワードの代わりにスマートフォンの生体認証などでログインする仕組みです。入力するパスワードそのものが無いため、推測や漏えいの対象になりません。