JNSAの理解度チェックサービスで漏えいのおそれ、項目に勤務先の従業員数と業種。パスワードは「ハッシュ化」で方式は公表されていない

2026年11月9日

この記事のポイント

いつ：2026年11月6日に第一報を公表（不正アクセスの確認は11月4日）
何が：JNSAの「情報セキュリティ理解度チェックサービス」から個人情報が漏えいしたおそれ。最大15,128件は上限・見込みで、サービスは停止中。侵入経路や内訳は公表されていない
誰に：勤務先がこのサービスを導入し、管理者または利用者として登録されていた人
どの情報が：管理者の氏名・企業名・メールアドレスから、勤務先の所在地・従業員数・業種まで。利用者IDとハッシュ化パスワードも項目に並ぶ
なぜ重要：編集部の見方として、勤務先の輪郭がそろった情報は、偽メールの文面を本物らしく見せるのに使われうる
読者がすべきこと：JNSAを名乗るメールのURLは開かず送信元を確認する。同じパスワードを使う他サービスは変更する。自社の登録状況を社内で確かめる

漏えいのおそれがある項目は、氏名とメールアドレスだけではありません

勤務先がこのサービスを導入し、自分が管理者または利用者として登録されていたかどうかが、対象かを判断する入口になります。本記事では、受講者を登録する担当者を「管理者」、受講者を含めIDを持つ人全体を「利用者」と呼びます。

JNSA（日本ネットワークセキュリティ協会）は、JNSAの第一報（2026年11月6日付）で、このサービスからの個人情報漏えいのおそれを公表しました。対象は最大15,128件で、上限・見込みの数字です。人数かどうかも含め内訳は公表されておらず、「1.5万人分が流出した」とは読み替えられません。

サービスは、企業・団体が従業員のセキュリティ知識を測るWebツールで、管理者が受講者を登録して結果を確認する運用が中心とされます（二次情報による解説）。セキュリティ対策Labの記事によると、漏えいのおそれがある項目は次のとおりです。

項目	立場
氏名・企業名・メールアドレス	管理者
所在地・従業員数・業種・利用ユーザー数	管理者（組織の情報）
利用者ID・ハッシュ化されたパスワード	利用者（管理者分か受講者分かは公表されていない）

「ハッシュ化」とは、パスワードを元に戻しにくい文字列へ変換して保管する方法です。報じられている項目は、パスワードそのものではなく「ハッシュ化されたパスワード」です。

JNSAを名乗る連絡を疑う理由——勤務先の輪郭がそろうと、偽メールは本物らしくなる

まずJNSAの案内です。偽メールへの注意喚起を伝える報道によると、JNSAは協会を装った偽メールに注意を呼びかけ、メール本文のURLからIDやパスワードの入力・変更を求めることはないとしています。添付ファイルは開かず、送信元を確認するよう促しています。管理者情報を悪用したなりすましへの警戒も、CNET Japanの報道で触れられています。

ここからは編集部の見方です。氏名・企業名・メールアドレスに従業員数や業種が加わると、攻撃者は「それらしい文面」を作りやすくなります。なりすましメール（正規の組織や担当者を装う偽のメール）の材料になりうる、という読み取りです。実際に悪用された事実や二次被害は、現時点で確認できません。

届いたとき、編集部が見ておきたい点

本文のURLからIDやパスワードの入力・変更を求めていれば、JNSAの案内と食い違います
送信元の表示だけでは決めないほうがよいと考えます。正規の配信ドメインから偽メールが届いた例として、アルカディア不正アクセスの記事があります
勤務先の業種や従業員数に触れた文面でも、それだけで本物とは言えません。これらは漏えいのおそれがある項目に含まれています
迷ったら、メール内のリンクではなく、JNSAのWebサイトを自分で開いて確認します

使い回したパスワードは、ハッシュ化されていても先に変える

ハッシュ方式や「ソルト」（ハッシュ化の前に加える、利用者ごとに異なる文字列）の有無は公表されておらず、安全とも危険とも断定できません。使い回しの備えを先に済ませるのが現実的です。以下は公表された項目から導いた編集部の助言で、JNSAの案内ではありません。

同じパスワードを他サービスで使っているなら、そちらを先に変更する。サービスは停止中のため、こちら側で変更できるかは確認できません
管理者アカウントのメールアドレスが、他サービスのログインIDと同じでないかを確かめる
自社が登録や管理者アカウントの作成をしていたかを社内で確かめる。情報システムの担当者か、従業員研修を担当した部署に利用実績が残っていないかをあたるのが早道です
勤務先名・業種・従業員数を織り込んだ連絡が来たときに、誰がどう確かめるかを決めておく

JNSAは、漏えいの可能性がある利用者には特定でき次第、個別に連絡する方針です（ビジネス＋ITの報道）。利用者が自分で照会できる専用の問い合わせ窓口は確認できないため、連絡を待つ間にできるのは上の確認までです。届いた連絡は、メール内のリンクからではなく、JNSAのWebサイトの案内と照らして確かめてください。

10月30日夜ごろの侵入の可能性から、11月6日の公表まで——停止中・個人情報保護委員会への報告予定

ITmedia NEWSの報道によると、10月30日の夜ごろから不正アクセスが行われていた可能性があります。JNSAが確認したのは11月4日で、11月6日に第一報を出しました。

現在は被害拡大を防ぐためサービスを停止し、外部の専門事業者の協力で原因の究明と影響範囲の特定を進めています（NOVAISTの報道）。

個人情報保護委員会については、第一報では11月6日に報告する予定だと記載されているとされます。書かれているのは予定で、報告が済んだかは第一報だけでは確認できません。

15,128件の内訳とハッシュ方式は公表されていない——ほかに確認できない点と、続報の見方

第一報の時点で、公表されていない、または確認できない点は次のとおりです。

論点	公表されていない・確認できないこと
侵入経路・原因	公表されていない（外部専門事業者と調査中）
15,128件の内訳	人数か件数か、管理者分・利用者分の区分は公表されていない
ハッシュ方式・ソルト	公表されていない
停止日時・再開	開始日時と再開の見通しは確認できない
専用窓口	電話番号・専用フォームは確認できない
管理者以外の利用者	どこまで含まれるかは確認できない
二次被害	有無は確認できない