JNSAの理解度チェックサービスに不正アクセス。利用者情報が1万5,128件（見込み）漏れた可能性、サービスは停止中

01発表されている事実

1. 10月30日夜ごろ

   調査により、この頃から不正アクセスが行われた可能性があると判明

2. 11月4日

   協会が不正アクセスを受けたことを確認。被害の拡大を防ぐため、対象サービスを停止

3. 11月6日

   第一報を公表。個人情報保護委員会へ同日に報告する予定とした

漏えいしたと見込まれる情報は、管理者として登録された人と、利用ユーザーの次の情報です。

• 管理者の氏名、企業名、メールアドレス
• 組織の所在地、従業員数、業種
• 利用ユーザー数
• 利用者のIDとパスワード（パスワードはハッシュ化されています）

「ハッシュ化」とは、パスワードを元に戻しにくい形に変えて保存する方法です。ただし、発表では、ハッシュ化の方式までは示されていません。協会は外部の専門事業者の協力を得て、原因と影響の範囲を調べています。侵入の経路は、まだ発表されていません。件数や範囲は、今後変わる可能性があるとしています。

02読者への影響

このサービスは、組織の管理者が社員や職員を登録し、サイト上で情報セキュリティの問題を受けてもらい、結果を分析するものです。管理者以外の受講者は、個人名を使わず「受講者ID」などで管理できます。社員向けの研修や確認テストに使っていた会社や団体が、主な対象です。

協会は、対象の可能性が確認された人には、特定が終わりしだい個別に連絡するとしています。また、メールアドレスなどが漏れた場合、協会や関係機関になりすましたメールが送られるおそれがあると注意を呼びかけています。協会が、メール本文のリンクを示してIDやパスワードの入力や変更を求めることはありません。

03今すぐやること

1. このサービスを使ったことがあるか、社内で確認する。管理者だった人は、登録したメールアドレスと使ったパスワードを思い出す
2. このサービスと同じパスワードを、ほかのサービスで使っていないか確認する。使っていれば、そちらを別のパスワードに変える
3. JNSAや関係機関を名乗るメールのリンクや添付ファイルは開かない。パスワードの入力や変更を求めるメールは、特に疑う
4. 確かめたいときは、メールのリンクではなく、JNSAの公式サイトに載っている案内を見る
5. 社内の担当者は、受講者に「このサービスの件で不審なメールが来たら報告する」よう伝える

04会社の担当者が学べること

研修やテストのサービスは、社員の名前やメールアドレスをまとめて預けることになります。外部のサービスを選ぶときは、預ける情報の種類を最小限にすること、停止や連絡の手順を事前に確認することが大切です。自社の取引先からこうした事故の知らせが来たときのために、「だれが受け取り、だれに知らせるか」を決めておくと、動きが早くなります。

また、パスワードの使い回しをなくすことは、利用者側でできる最も確実な備えです。パスワード管理ツールと多要素認証を組み合わせると、IDとパスワードが外に出ても、ほかのサービスへの被害を抑えられます。

05今後の発表

協会は、新しい事実が分かりしだい、協会のWebサイトで知らせるとしています。サービスの再開時期は、第一報では示されていません。