科学技術振興機構（JST）に不正アクセス。役職員12人のメール約1万8,000件が漏えいした可能性

01発表されている事実

JSTは、不正アクセスに悪用された経路をすでに遮断し、アクセス権限の無効化などの措置をとっています。発表時点で、漏えいした可能性のある情報が不特定多数に公開された事実や、不正に利用された事実は確認されていないとしています。個人情報保護委員会に報告し、関係省庁や警察と連携して調査を続けています。

件数は、精査の結果として8月28日に更新されています。不正アクセスの手口や、どのシステムが入口だったかは公表されていません。

02読者への影響

JSTは研究費の配分や産学連携の事業を行っており、大学や企業の研究者、事務担当者と多くのメールをやりとりしています。漏えいしたおそれがあるのは、メールアドレスだけでなくメールそのものです。やりとりの内容を知ったうえで、JSTの担当者を名乗り、申請書類や手続きを口実にした偽メールが届くおそれがあります。

8月上旬には、中部電力も「第三者機関からの情報提供で、役職員のメールが見られていた可能性が分かった」と発表しています。自社の監視では気づきにくい被害だという点は共通しています。

03今すぐやること

1. JSTの職員を名乗るメールで、ログインや書類の再提出、添付ファイルの確認を急がせるものは、JSTの公式サイトや既知の連絡先で確かめる
2. JSTとのメールに、システムのパスワードや個人番号などを書いて送ったことがあれば、変更や確認をする
3. 研究室や部署で同じメールを受け取った人がいないか共有する
4. 大学や企業の情報システム担当は、JSTを名乗るメールの報告が来たときの受け付け先を決めておく

不審なメールを受け取ったら、開く前に送り主の組織へ確かめるのが基本です。返信ボタンではなく、公式サイトに載っている連絡先を使ってください。

04組織のメールを守るには

メールボックスは、取引先や関係者とのやりとりがすべて残る場所です。多要素認証の必須化、普段と違う場所からのログインの通知、古いメールの整理が、被害の大きさを左右します。個人情報が含まれるメールが見られた可能性があるときは、事業者に個人情報保護委員会への報告と本人への通知が求められる場合があります。委員会は、報告の期限や必要な場合をWebサイトで案内しています。

05今後の発表

JSTは原因の究明を進め、監視・検知の高度化などの再発防止に努めるとしています。