セキュリティ分野の業界団体として知られる日本ネットワークセキュリティ協会（JNSA）が運営する「情報セキュリティ理解度チェックサービス」で、第三者による不正アクセスが起きていたことが分かった。JNSAは2026年11月6日、利用者の個人情報が最大15,128件漏えいした可能性があるとして第一報を公表した。本記事では、公式発表（第一報）をもとに、何が起きたのか・漏えいした可能性のある情報・現時点でわかっていないこと・利用者が今すべきことを整理する。
JNSAで何が起きたのか
JNSAの発表によると、同協会が運営する「情報セキュリティ理解度チェックサービス」において、2026年11月4日に第三者による不正アクセスを受けたことを確認した。このサービスは、企業・組織の管理者が社員や職員を「受講者」として登録し、サイト上でセキュリティに関する問題を受けさせて結果を分析できる、いわば企業向けのセキュリティリテラシー測定ツールである。
今回の不正アクセスにより、利用者の個人情報の漏えいが発生した可能性があり、対象は最大15,128件と見込まれている。調査の結果、現在のところ不正アクセスは2026年10月30日夜頃から行われた可能性があることが判明しているが、詳細な侵入経路および影響範囲については、引き続き調査が進められている段階だ。
漏えいした可能性のある情報
JNSAの公式発表によれば、漏えいした可能性があると見込まれる情報は、これまでに管理者登録された方および利用ユーザの以下6項目。
- 管理者氏名
- 管理者企業名
- 管理者メールアドレス
- 組織所在地、従業員数、業種
- 利用ユーザ数
- 利用者のID・パスワード（パスワードはハッシュ化されている）
利用者のパスワードはハッシュ化された状態で保存されていたとされ、平文のまま流出したわけではないことが明記されている点は押さえておきたい。一方で、ハッシュ方式自体は公表されておらず、管理者の氏名・企業名・メールアドレスといった、なりすましメールの材料になりうる情報が含まれる点には注意が必要だ。
現時点（2026年11月6日発表の第一報ベース）では調査を継続中であり、対象件数や影響範囲については今後変動する可能性があるとされている。
判明までの経緯
公式発表に基づく対応の経緯は次のとおり。
| 日付 | 内容 |
|---|---|
| 10月30日夜頃 | 不正アクセスが行われた可能性がある時期（調査で判明） |
| 11月4日 | JNSAが情報セキュリティ理解度チェックサービスへの第三者による不正アクセスを確認 |
| 11月6日 | 被害拡大防止のため対象サービスを停止。第一報を公式サイトで公表。個人情報保護委員会へ報告予定 |
発覚からおよそ2日というスピードで第一報が公表されており、現時点でも外部専門事業者の協力のもと、原因究明・影響範囲の特定が進められている段階だ。
サービスは今どうなっているのか
JNSAは被害拡大防止のため、対象となった情報セキュリティ理解度チェックサービスを停止したと発表している。現在は外部の専門事業者の協力のもと、原因究明および影響範囲の特定を進めている段階で、サービスの再開時期については第一報の時点では明示されていない。
漏えいの可能性が確認された利用者については、対象者の特定が完了次第、個別に連絡する予定とされている。したがって、現時点で自分（あるいは自社）が対象に含まれるかどうかは、公式からの個別連絡を待つ必要がある。
利用者が今すぐ確認したいこと
公式発表の内容を踏まえると、次の点を確認しておきたい。
- JNSAや関係機関をかたる不審なメールが届いても、本文中のリンクや添付ファイルを安易に開かない
- JNSAがメール本文でURLを示し、IDやパスワードの入力・変更を求めることはないと明言されている点を踏まえ、そうした要求が来たら詐欺を疑う
- 不審なメールを受信した場合は、送信元のメールアドレスを十分に確認する
- 自社が情報セキュリティ理解度チェックサービスの利用企業である場合は、管理者・受講者双方に周知し、個別連絡を待つ体制を整えておく
利用者のパスワードはハッシュ化されていたと発表されているため、直ちにそのままの形で第三者に悪用される可能性は低いと見られる。ただし、同じID・パスワードを他のサービスでも使い回している場合は、念のため変更を検討しておくと安心だろう。
なぜセキュリティ団体のサービスが狙われたのか
JNSAは情報セキュリティの啓発・調査研究を行う業界団体であり、今回漏えいの可能性がある「情報セキュリティ理解度チェックサービス」は、企業がセキュリティ教育の一環として受講者（社員・職員）のリテラシーを測定するために利用するサービスだった。いわばセキュリティ対策を広める側の団体が運営するサービスで情報漏えいの可能性が生じた格好であり、皮肉な巡り合わせとして話題になりやすい事案といえる。
ただし、公式発表では具体的な侵入経路・攻撃手法は明らかにされておらず、「今後の対応」として外部専門事業者と連携して原因究明を進めるとされている段階にとどまる。推測で原因を断定せず、続報を待つのが確実だ。
チェックリスト：サービス利用者が今できること
| 確認項目 | 内容 |
|---|---|
| 不審なメール・添付ファイル | JNSAや関係機関を名乗る連絡のリンク・添付ファイルは開かず、送信元を確認する |
| ID・パスワードの入力要求 | JNSAはメール本文のURLでID・PWの入力や変更を求めないと明言。要求があれば詐欺を疑う |
| パスワードの使い回し | 同じID・パスワードを他サービスでも使っている場合は、念のため変更を検討する |
| 公式の続報 | 対象件数・影響範囲は2026年11月6日時点で未確定のため、公式サイトの発表を定期的に確認する |
パスワードがハッシュ化されていたことは、公式発表で明記されている数少ない「確定している事実」。一方で対象件数や侵入経路など、多くの点がまだ調査中であることも踏まえ、現時点では過度に不安がらず、かつ不審な連絡には警戒する、という姿勢が妥当だろう。
今後の対応・続報の見通し
JNSAは、外部専門事業者の協力のもと原因究明・影響範囲の特定を引き続き進めるとしている。漏えいの可能性が確認された利用者については、対象者の特定が完了次第、個別に連絡を差し上げる予定。また、調査の進展により新たな事実が判明した場合は、公式Webサイトで速やかに知らせるとしている。
本件については2026年11月6日に個人情報保護委員会へ報告を予定しているとされており、今後、対象件数の確定や原因の詳細が明らかになる可能性がある。公式サイトの発表を確認しておきたい。
まとめ
JNSA（日本ネットワークセキュリティ協会）が運営する「情報セキュリティ理解度チェックサービス」で、2026年11月4日に第三者による不正アクセスが確認された。漏えいした可能性がある情報は、管理者氏名・企業名・メールアドレス、組織所在地・従業員数・業種、利用ユーザ数、利用者のID・パスワード（ハッシュ化済み）の6項目で、対象は最大15,128件と見込まれている。対象サービスは停止され、外部専門事業者と原因究明・影響範囲の調査が続いている。なりすましメールへの警戒と、パスワードの使い回し確認をしておきたい。
よくある質問
Q. パスワードはそのまま漏れていますか？
A. 公式発表では、利用者のパスワードはハッシュ化された状態で保存されていたとされており、平文のまま流出したとは明記されていません。ただしハッシュ方式自体は公表されていません。
Q. 自分が対象かどうかはどうすれば分かりますか？
A. 2026年11月6日時点では対象者の特定が完了しておらず、JNSAから対象者へ個別に連絡する予定とされています。心配な場合は、使い回しているパスワードがないか確認しておくと安心です。
Q. 情報セキュリティ理解度チェックサービスを使っていなければ関係ありませんか？
A. 公式発表では同サービスの「管理者登録された方および利用ユーザ」が対象とされているため、未利用の場合は対象外である可能性が高いですが、公式の続報で確認するのが確実です。
出典：日本ネットワークセキュリティ協会（JNSA）「不正アクセスによる『情報セキュリティ理解度チェックサービス』からの利用者個人情報漏えいの恐れに関するお知らせ（第一報）」（2026年11月6日公表）
