JSTに不正アクセス、メール1.6万件漏えいか

JSTに不正アクセス、メール1.6万件漏えいか インシデント対応

国立研究開発法人科学技術振興機構（JST）が、第三者による不正アクセスを受け、役職員12名のメールボックスに保管されていたメール約1万6,000件が外部に漏えいした可能性があると公表しました（2026年8月7日）。発覚のきっかけは自組織による検知ではなく、外部機関からの情報提供でした。

漏えいした可能性のある情報には、外部関係者のメールアドレス約1,300件が含まれます。つまり、JSTと日常的にメールをやり取りしている大学・研究機関・企業にとっては「他人事」ではなく、自組織の担当者アドレスが第三者の手に渡っている可能性がある事案です。

この記事でわかること

  • JSTで何が起きたのか（経緯・件数・公表内容）を事実ベースで整理
  • 「外部からの指摘で発覚した」ことが情シスにとって何を意味するのか
  • メールボックスの侵害が、なぜ他のシステム侵害より厄介なのか
  • 取引先として名前が載っていた場合に、自組織で確認・注意すべきこと

そもそもJSTとは何者で、なぜ自分の組織に関係するのか

JST（科学技術振興機構）とは、国の科学技術政策にもとづき研究開発の資金配分や研究基盤の整備を担う国立研究開発法人です。文部科学省所管で、いわゆるファンディングエージェンシー（研究資金の配分機関）にあたります。

実務上のポイントは、JSTの業務が「外部と大量にメールをやり取りする」性質を持つことです。研究費の公募・審査・採択後の事務手続きを通じて、全国の大学・研究機関の研究者、共同研究先の民間企業、委託先事業者などと継続的にメールが行き来します。JST内部だけの問題では終わらず、取引先・応募者側のアドレスや、やり取りの中身まで巻き込まれる構図になります。

「うちはJSTと直接の付き合いはない」と思っていても、研究部門や産学連携部門が公募に応募していた、というケースは珍しくありません。まずは自組織にJST関連の窓口があるかを確認するところから始めるのが現実的です。

何が起きたのか

JSTの公表内容と報道をもとに、判明している事実を整理します。

項目 内容
発覚の経緯 2026年7月28日、外部機関からJSTに対して情報提供があり、調査を開始
公表日 2026年8月7日
被害対象 JST役職員12名のメールボックス
漏えいの可能性がある件数 メール約1万6,000件（メールの一部）
含まれるメールアドレス 外部関係者 約1,300件 ／ JST役職員 約1,000件
実施済みの措置 不正アクセスに悪用された経路の遮断、アクセス権限の無効化等
今後の対応 関係省庁・警察と連携した調査、原因究明、再発防止と情報セキュリティ対策の強化

JSTは、公表時点で漏えいした可能性のある情報が不特定多数に公開された事実や、不正に利用された事実は確認されていないとしています。ただしこれは「被害がなかった」ことの証明ではなく、現時点で確認できていないという意味です。時間を置いてから悪用される可能性は残ります。

原因・侵入経路は公表されていない

不正アクセスの具体的な原因や侵入経路について、JSTは公表資料で明らかにしていません。「経路は遮断済み」「原因究明を進める」との記述にとどまります。フィッシングによる認証情報の窃取だったのか、正規のトークンやアプリ連携が悪用されたのか、外部サービス経由だったのかは、現時点では断定できません。本記事でも推測で原因を決めつけることはしません。

一方で、公表された数字から読み取れることはあります。12名分で約1万6,000件、単純平均で1人あたり1,300通強。JSTは「メールの一部」と表現しており、メールボックス全体が丸ごと持ち出されたのか、特定期間・特定条件のメールが抜き出されたのかは公表内容からは読み取れません。いずれにせよ、12名という規模は「1人がうっかり引っかかった」だけでは説明しにくい広がりであり、そこが原因究明の焦点になると考えられます。

なぜ「外部からの指摘で発覚した」が最大の論点なのか

答え：組織内部の監視では気づけていなかった、ということだからです。7月28日に外部機関から情報提供を受けて調査を開始した、という経緯は、裏を返せばそれまで自組織の監視で異常を検知できていなかったことを意味します。

これはJSTに限った弱点ではありません。メールアカウントの侵害は、ランサムウェアのように業務が止まるわけでも、Webサイト改ざんのように外から見えるわけでもありません。攻撃者が正規のIDでログインして読むだけなら、システムは「正常な利用」として処理します。被害が静かに進行し、外部から指摘されて初めて分かる——という発覚パターンは、この種の事案では典型的です。

ここで情シスが自問すべきは、「うちなら気づけたか」です。具体的には次のような点が、検知できるかどうかの分かれ目になります。

  • メールボックスへのアクセス履歴（監査ログ）を保存しているか。保存期間が短いと、発覚した時点でログが消えていて調査そのものができません。
  • 不審なサインイン（普段と異なる国・時間帯・端末）を検知する仕組みがあるか。ログを取っているだけで誰も見ていない状態になっていないか。
  • メール転送ルールや代理アクセス権限の変更を監視しているか。侵害後に「自動転送」を仕込まれると、パスワードを変えた後も情報が流れ続けます。
  • 外部から「御社のアカウントがおかしい」と連絡が来たとき、受け止める窓口が明確か。今回のJST事案は、まさにこの外部通報が起点でした。

アカウント乗っ取りの入口として多いフィッシングや認証まわりの手口については、スピアフィッシングとは？フィッシングとの違いと情シスの実態や多要素認証（MFA）とは？仕組みと突破手口を解説、OAuth認証の落とし穴──なりすましを生む実装ミスとはもあわせて確認してください。

メールボックスの侵害が特に厄介な理由

今回漏えいした可能性があるのは「メールアドレス2,300件」だけではありません。本体は約1万6,000件のメールそのものです。ここが、単なるアドレス流出との決定的な違いです。

メールボックスは、実質的に組織の情報が最も雑然と、しかし大量に蓄積された場所です。数年分のやり取りには、次のようなものが平然と残っています。

  • 添付ファイル（見積書、契約書案、名簿、申請書類、審査資料）
  • パスワードを別送したつもりの「解凍パスワードはこちらです」というメール
  • 誰が誰の承認を取っているかという組織の意思決定の流れ
  • 担当者の氏名・所属・直通番号を含む署名
  • 過去の会話文脈（返信スレッド）

最後の「会話文脈」が、二次被害の観点では最も危険です。攻撃者は、実在する過去のやり取りに割り込む形で、本物としか思えない返信メールを作れるようになります。件名も相手の名前も、これまでの経緯も正確だからです。手口としてはビジネスメール詐欺（BEC）や標的型攻撃に直結します（参考：ビジネスメール詐欺（BEC）とは？手口と情シスの対策を解説）。

取引先側として、いま注意すべきこと

自組織のアドレスが今回の約1,300件に含まれている可能性がある場合、当面はJSTを騙るメールへの警戒レベルを一段上げるのが現実的な対応です。特に、

  • JSTや公募事務局を名乗る、口座変更・振込先変更の連絡
  • 過去のやり取りの続きを装った、添付ファイル付きメール
  • 「至急」「本日中」など期限を切って添付やリンクを開かせようとするもの

といったものは、メール以外の手段（電話番号は自組織の台帳にあるものを使う）で確認する運用を徹底してください。届いたメールに書かれている番号にかけ直すのは意味がありません。

現場目線の所感

この手のニュースを読むと、正直なところ「明日は我が身」という感想が先に立ちます。メールアカウントの乗っ取りは、ファイアウォールを固めても、EDRを入れても、正規のIDとパスワードで正面から入ってこられたら止まらない種類の侵入だからです。しかも被害が静かなので、検知の主役はログ監視という、最も人手と根気を要する領域になります。

限られた人数の情シスで、全社員のサインインログを毎日眺めるのは非現実的です。だからこそ、「見る」のではなく「鳴る」仕組み——普段と違う国からのサインイン、転送ルールの新規作成、大量メールのダウンロードといった条件でアラートを上げる設定を、先に作り込んでおくしかありません。日常的に監視できないなら、せめてアラートの条件と、鳴ったときに誰が何をするかだけは決めておく。ここが動いているかどうかが、外部から指摘されるまで気づけない組織と、そうでない組織の分岐点になります。

もうひとつ痛感するのは、メールボックスは「捨てる」設計になっていないことです。容量が潤沢になったおかげで、何年も前の添付ファイルがそのまま残っている。侵害されたときの被害量は、そのまま蓄積量に比例します。とはいえ「古いメールを消せ」と言っても業務都合で反発が出るのは目に見えており、情シス単独では踏み込みにくい領域です。

情シスはどうすべきか（公的指針の活用）

自組織向けのチェックリストをゼロから作る必要はありません。公的機関が実務で使える資料を公開しているので、まずはそちらを起点にするのが早道です。

  • 個人情報保護委員会「漏えい等の対応とお役立ち資料」：漏えい発生時の報告義務と期限が整理されています。要配慮個人情報を含む場合、不正の目的による行為である場合、本人の数が1,000人を超える場合などは報告義務の対象で、速報は発覚日から3〜5日以内、確報は30日以内（不正の目的による場合は60日以内）とされています。メールアドレスが数千件規模で漏えいすれば、この基準に触れる可能性は十分にあります。https://www.ppc.go.jp/personalinfo/legal/leakAction/
  • IPA「セキュリティインシデント対応 机上演習教材」：「外部から指摘を受けて初めて発覚した」という今回のシナリオは、まさに机上演習の題材に向いています。誰が最初の連絡を受け、どこにエスカレーションし、いつ公表を判断するのか。実際に一度やってみると、想定していた手順の穴が驚くほど出てきます。https://www.ipa.go.jp/security/sec-tools/ttx.html
  • IPA「対策のしおり」：エンドユーザ啓発用の配布資料です。今回のような事案の後、「JSTを騙るメールに注意」という一斉通知を出す際、あわせて配ると定着しやすくなります。https://www.ipa.go.jp/security/guide/shiori.html

技術的な締め付けと同じくらい、地道な啓発が効く領域でもあります。「不審なメールが来たら報告してよい」という空気が社内にあるかどうかで、検知までの時間は大きく変わります。報告した人が責められる文化だと誰も報告しなくなり、結果として外部からの指摘を待つ組織になります。

中長期の視点

侵入の詳細が出てこない事案では、続報を待つ姿勢も重要です。原因が判明した段階で「自社にも同じ穴がないか」を照合できるよう、JSTの続報（再発防止策の公表）はウォッチしておく価値があります。

また、研究資金の配分機関や大学が狙われる背景として、研究情報そのものの価値も意識しておきたいところです。未公表の研究データ、共同研究先の構成、採択前の申請内容は、経済安全保障の観点からも機微な情報です。産学連携に関わる組織であれば、「うちは重要インフラではないから狙われない」という前提は見直しどきかもしれません。

まとめ

  1. JSTで役職員12名のメールボックスが不正アクセスを受け、メール約1万6,000件、外部アドレス約1,300件が漏えいした可能性がある（2026年8月7日公表、発覚は7月28日の外部からの情報提供）。原因・侵入経路は公表されていない。
  2. 最大の教訓は「自組織では検知できていなかった」こと。メール監査ログの保存、不審なサインインと転送ルール変更のアラート、外部通報の受け口——この3点が自組織で動いているかを点検する。
  3. 取引先側にも二次被害のリスクがある。過去のやり取りを利用したBEC・標的型メールに備え、当面はJSTや公募事務局を名乗るメール、特に振込先変更の連絡は、メール以外の手段で確認する。

出典

タイトルとURLをコピーしました