要点
発表された事実
- 日本商工会議所は2026年11月10日、ネット試験で使う外部サーバー（試験管理システム）への不正アクセスが確認され、最大約98万人分（約197万件）の受験者情報が漏えいした可能性があると発表した（日本商工会議所）。
- 11月4日にシステム管理会社からの報告で確認した。11月1日に不正なプログラム（不正ファイル）が設置されており、即時削除し、同日深夜に脆弱性対策（パッチ適用）をした（同）。
- 試験管理システムは、ネット試験施行機関が試験予約や受験結果の管理に使うもので、一般の受験者はアクセスしない（同）。
- 対象は2022年4月1日〜2026年11月4日に簿記、リテールマーケティング（販売士）、日商PC、電子会計実務、キータッチ2000、ビジネスキーボード、日商プログラミング、日商ビジネス英語のネット試験を受けた人。項目は氏名、フリガナ、性別、生年月日、合否結果、試験得点、任意入力のメールアドレス・電話番号・住所。決済情報は含まれない（同）。
- 漏えいや不正利用の事実は確認されていない。11月9日に個人情報保護委員会へ報告した（同）。
わかっていないこと
- 悪用された脆弱性（製品名・CVE）と、不正ファイルの種類。
- 実際に受験者情報が持ち出されたかどうか。
- システム管理会社の名前と、同じシステムを使う他団体への影響。
- 11月1日より前の侵入の有無。
関係しそうな既知の手口
- （考察）「不正なプログラムの設置」と「パッチ適用」の組み合わせから、公開サーバーの脆弱性を突いてファイルを置かれた可能性があるが、発表は脆弱性の内容を示していない。
概要
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-11-01 | 試験管理システムに不正なプログラムが設置される | 日本商工会議所 |
| 2026-11-04 | システム管理会社の報告で確認、ファイル削除、深夜にパッチ適用 | 同 |
| 2026-11-09 | 最大約98万人分の漏えい可能性が判明、個人情報保護委員会へ報告 | 同 |
| 2026-11-10 | 公表 | 同 |
発表内容の整理
事実（日本商工会議所の11月10日の発表による）
| 項目 | 内容 |
|---|---|
| 対象 | 商工会議所ネット試験管理システム（外部サーバー、施行機関向け） |
| 侵入の形 | 不正なプログラム（不正ファイル）の設置（11月1日） |
| 件数 | 最大約98万人分（約197万件） |
| 期間 | 2022年4月1日〜2026年11月4日の受験者 |
| 項目 | 氏名、フリガナ、性別、生年月日、合否結果、試験得点、任意入力のメールアドレス・電話番号・住所 |
| 含まれない | クレジットカード情報など決済情報 |
| 現状 | 漏えい・不正利用は未確認、試験は通常どおり実施 |
出典：日本商工会議所「商工会議所ネット試験管理システムへの不正アクセスによる受験者情報（個人情報）漏えいの可能性について」（2026-11-10）
考察
- 合否や得点は、本人しか知らないはずの情報として扱われやすい。「受験結果の確認」「合格証の再発行」を装った連絡は、得点まで添えられると本物に見えてしまう。
- 不正ファイルの設置から確認まで3日で、パッチをその日のうちに当てている。一方で、パッチが当たっていなかった期間が設置の前にどれだけあったかは書かれていない。
利用者・運用者がいまできること
- 受験者：日商や試験会場、資格学校を装うメール・SMS・電話・郵便に注意し、リンクや添付ファイルを開かない。日商はパスワードやカード情報を尋ねないとしている。
- 運用者：外部委託の公開サーバーで、パッチの適用状況と、Web公開ディレクトリに見覚えのないファイルが置かれていないかを定期的に確認する。