要点
発表された事実
- JNSAは、運営する「情報セキュリティ理解度チェックサービス」が第三者による不正アクセスを受け、利用者の個人情報が漏えいした可能性があると発表した（JNSA 第一報 PDF）。
- 対象は最大15,128件。管理者の氏名・企業名・メールアドレス・組織所在地・従業員数・業種・利用ユーザ数、および利用者のID／パスワード（パスワードはハッシュ化）が見込まれる（同）。
- 2026年11月4日に不正アクセスを確認。調査では10月30日夜頃から攻撃が行われた可能性がある（同）。
- 発覚後、被害拡大防止のため対象サービスを停止し、外部専門事業者とともに原因と影響範囲を調査している（同）。
わかっていないこと
- 不正アクセスの侵入経路・原因。
- 漏えい件数・影響範囲の確定値。
- サービスの再開時期。
関係しそうな既知の手口
- （考察）企業のセキュリティ教育・理解度測定サービスは、管理者連絡先と受講者アカウントが集まるため、侵害されると業界内のなりすましメールやパスワード再利用攻撃の材料になりやすい。
概要
- 同サービスは、組織の管理者が受講者を登録し、情報セキュリティに関する問題の受講結果を分析するためのもの（JNSA 第一報 PDF）。
- 管理者以外の受講者は個人名を使わず「受講者ID」などで管理できる（同）。
- 11月6日に個人情報保護委員会へ報告予定（同）。
- 報道でも取り上げられている（ITmedia）。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-10-30夜頃 | 不正アクセスが行われた可能性（調査時点） | JNSA PDF |
| 2026-11-04 | 不正アクセスを確認。サービス停止と調査を開始 | 同 |
| 2026-11-06 | 第一報を公表。最大15,128件の漏えい可能性。個情委へ報告予定 | 同 |
発表内容の整理
事実（JNSAの第一報による）
| 項目 | 内容 |
|---|---|
| 対象サービス | 情報セキュリティ理解度チェックサービス |
| 件数 | 最大15,128件（変動の可能性あり） |
| 漏えいが見込まれる情報 | 管理者氏名、管理者企業名、管理者メールアドレス、組織所在地・従業員数・業種、利用ユーザ数、利用者のID／PW（PWはハッシュ化） |
| 現況 | サービス停止。侵入経路・影響範囲は調査中 |
考察
- セキュリティ啓発を担う協会自身のサービス侵害は信頼面の打撃が大きい。技術詳細が続報で出るかが、同種サービス運営者の教訓になる。
- ハッシュ化パスワードでも、弱いアルゴリズムやソルト不足なら解析されうる。方式は未公表。
関係しそうな既知の手口
事実
- JNSAは、詳細な侵入経路を引き続き調査中としている（JNSA PDF）。
考察
- Webアプリケーションの脆弱性、管理画面の認証侵害、インフラ設定不備など複数の仮説があり、現時点では特定できない。
利用者・運用者がいまできること
- 利用組織の管理者：JNSAや関係機関を装うメールに注意する。同協会はメール本文中のURLでID・パスワードの入力や変更を求めないとしている。同じパスワードを他サービスで使っている場合は変更する。
- 運用者：教育・理解度測定SaaSでも、本番相当の脆弱性診断と認証強化（多要素認証等）を行う。