セキュリティ団体JNSAが不正アクセス被害、管理者情報など最大1万5,128件漏えいの恐れ

　日本ネットワークセキュリティ協会（JNSA）は11月6日、同協会が運営する「情報セキュリティ理解度チェックサービス」が第三者による不正アクセスを受け、利用者の個人情報が漏えいした恐れがあると発表した。第一報として公表したもので、漏えいの恐れがある件数は最大1万5,128件。調査の進展により変動する可能性があるという。

　JNSAは、情報セキュリティ分野の企業が参加する特定非営利活動法人。今回は、その協会自身が運営するサービスが被害を受けた形だ。

　JNSAによると、不正アクセスを確認したのは11月4日。現時点の調査では、10月30日夜ごろから不正アクセスが始まった可能性があるという。

　漏えいの恐れがある情報は、管理者の氏名、企業名、メールアドレス。組織の所在地、従業員数、業種。利用ユーザー数。そして利用者のIDとパスワードである。パスワードはハッシュ化されているとしている。

　同サービスでは、管理者が社員などの受講者を登録できる。管理者以外の受講者は、個人名ではなく「受講者ID」などで管理しているという。

　JNSAは被害拡大を防ぐため、対象のサービスを停止した。外部の専門事業者の協力を得て原因と影響範囲を調べており、侵入経路の詳細は調査中としている。対象者が特定でき次第、個別に連絡する方針。11月6日には、個人情報保護委員会へ報告する予定という。新たな事実が分かれば、協会のWebサイトで速やかに公表するとしている。

　利用者に対しては、協会や関係機関になりすましたメールが届く恐れがあるとして、不審なメールのリンクや添付ファイルを開かず、送信元を十分に確認するよう呼びかけた。協会がメール内のURLからIDやパスワードの入力・変更を求めることはないとし、そうしたメールには特に注意するよう求めている。問い合わせ先は、sec@jnsa.orgとしている。