JNSAに不正アクセス　理解度チェックサービスで最大1.5万件漏えいか

情報セキュリティの普及啓発団体である日本ネットワークセキュリティ協会（JNSA）が運営するサービスへの不正アクセスが明らかになり、話題となっています。セキュリティ啓発を担う団体自らが被害を受けたことへの関心が高まっています。

JNSAは11月6日、同協会が運営する「情報セキュリティ理解度チェックサービス」が第三者による不正アクセスを受け、最大1万5128件の個人情報が漏えいした可能性があると発表しました。利用者のIDやハッシュ化されたパスワードなどが漏えいした可能性があるといいます。

「情報セキュリティ理解度チェックサービス」は、企業や団体が従業員の情報セキュリティに関する理解度を確認するために利用されるものです。漏えいした可能性がある情報は、利用者のIDやハッシュ化されたパスワードに加え、同サービスの受講を管理する担当者の氏名、企業名、メールアドレス、組織所在地、従業員数、業種、利用ユーザー数も含まれています。

JNSAは11月4日に不正アクセスを確認。その後の調査で、10月30日夜ごろから攻撃を受けていた可能性があることが分かりました。発覚後は被害拡大を防ぐため同サービスを停止し、現在は外部の専門事業者とともに原因や影響範囲の調査を進めています。現時点で侵入経路は判明しておらず、漏えい件数も今後変動する可能性があるとしています。

対応面では、対象者には特定でき次第個別に連絡する方針で、11月6日中に個人情報保護委員会への報告も予定されていました。また、JNSAは漏えいした情報を悪用したなりすましメールが届く可能性があるとして、不審なメールのリンクや添付ファイルを開かないよう利用者に注意を呼びかけています。

今回の事態は、社会全体のサイバーセキュリティ意識が高まるなかで起きています。近年は大手企業や行政機関を標的とした不正アクセスや情報漏えいが相次いで報告されており、攻撃の対象は業種や組織の規模を問わず広がっています。特に、従業員のセキュリティ教育用サービスは多数の企業の組織情報を一括して保持するため、攻撃者にとって魅力的な標的になり得ることが今回の事例で示された形です。

セキュリティの啓発団体であっても、運営するWebサービス自体は攻撃リスクから無縁ではありません。組織が保有する個人情報や認証情報の管理体制、侵入検知と早期発見の仕組み、発覚後の迅速なサービス停止と関係機関への報告といった一連の対応は、あらゆる事業者に共通する課題です。

利用者側にも注意が必要です。漏えいしたメールアドレスやIDを手がかりに、正規の団体を装ったフィッシングメールやなりすましメールが送られる恐れがあります。受信したメールの送信元やリンク先を確認し、心当たりのない添付ファイルを開かないこと、パスワードの使い回しを見直すことが基本の対策となります。

JNSAの調査結果は今後公表される見通しです。侵入経路の特定と漏えい範囲の確定が待たれるなか、今回の事案は、セキュリティ対策は啓発する側もされる側も等しく必要とするものだという認識を改める機会といえそうです。