日本エネルギー経済研究所の不正アクセス、旅券13件は漏えい確認。メール情報759件などは可能性として続報を読む

まず初めに

国のエネルギー政策を陰で支える調査機関が、フィッシング攻撃による不正アクセスを公表した。情報を分析するプロ集団でも、分析力がアカウントの門番まで兼ねてくれるわけではない。9月の第一報では、ファイルのダウンロードによる漏えいを既に公表していた。10月の続報では個人情報の種類と件数が示されたが、「確認済み」と「可能性」をひとまとめにすると、肝心の違いを読み落とす。数字が並んでいても、足し算を急ぐ場面ではない。※個人の感想です

何が起きているのか

一般財団法人日本エネルギー経済研究所(IEEJ)は、1966年に設立され、当時の通商産業省(現在の経済産業省)の認可を受けた財団法人です。国内外のエネルギー需給動向の分析や、エネルギー政策に関する調査・提言を行っており、経済産業省の委託事業なども手がける、エネルギー政策の基礎データを提供する研究機関です。

IEEJによる9月11日の第一報によると、第三者がフィッシング攻撃を起点に、所員6人のMicrosoft 365アカウントへ不正にアクセスしました。発端は2026年7月29日、外部機関からの情報提供で不審な動きが判明したことです。調査の結果、対象アカウント内のメール閲覧5,417件、ファイル閲覧3,272件の痕跡が見つかり、このうち2,798件のファイルにはダウンロードの痕跡も確認されました。

10月2日の公式続報では、詳細調査の結果を「漏えいした可能性のある個人情報」と「漏えいした個人情報」に分けて示しています。可能性のある情報はメールアドレス759件で、うち755件に氏名、36件に電話番号、5件に口座名義・口座番号などの金融関係情報が含まれます。同じ可能性の区分に、氏名・役職・所属23件も記載されています。一方、パスポート情報13件は漏えいが確認された情報として掲載されています。公式発表は旅券13件をメール情報759件に含まれるものとは説明しておらず、これらの区分の合計人数や重複関係は推測しません。

対象情報の内訳を整理すると、次のようになります。

公式発表の区分	対象情報	件数	補足
漏えいの可能性	メールアドレス	759件	うち755件に氏名を含む
漏えいの可能性	電話番号	36件	メールアドレス759件の内訳
漏えいの可能性	金融関係情報(口座名義・口座番号等)	5件	メールアドレス759件の内訳
漏えいの可能性	氏名・役職・所属	23件	公式発表で別項目として記載
漏えい確認済み	パスポート情報	13件	759件への包含や合計人数を意味しない

なぜ重要なのか

9月11日の公表段階で、メール・ファイルの閲覧による漏えいの可能性と、ファイルのダウンロードによる漏えいの発生は既に説明されていました。10月2日の続報は、詳細調査に基づいて個人情報の種類と件数を区別したものです。IT Postでは、続報を読む際は件数の大きさだけでなく、「可能性」と「確認済み」のどちらに分類されているかを確かめることが重要だと考えます。

フィッシングは、相手をだまして認証情報を入力させるなどして侵入の足掛かりを得る手口です。一方、ランサムウェアはファイルの暗号化などにより身代金を要求するマルウェアです。攻撃の入口と侵入後の行為は別の分類で、フィッシングからランサムウェア被害につながる場合もあります。CISAのガイドも、フィッシングを初期侵入経路の一つに挙げています。本件についてIEEJが9月11日の発表で公表しているのは、フィッシング攻撃による所員6名のMicrosoft 365アカウントへの不正アクセスです。メールの本数や特定の職員の操作・判断は、この発表には記載されていません。

私たちへの影響

今回の対象は、漏えいの可能性があるメール情報や氏名・役職・所属、漏えいが確認されたパスポート情報に関係する本人です。メールの相手先だけに限定して対象を判断することはできません。IEEJは10月2日の発表で、本人への通知を進めていると説明しています。特にパスポート情報や金融関係情報が含まれていた人は、心当たりのない連絡や、IEEJまたは関係省庁を名乗る不審な電話・メールに注意してください。

金融機関や官公庁、研究機関が、電話やメールで口座の暗証番号やパスポート番号そのものを確認してくることは通常ありません。不審な連絡を受けた場合は、その場で対応せず、公式の窓口に自分から確認することをおすすめします。

よくある質問

Q. 自分がIEEJとメールのやり取りをしたことがあるか分からない場合は?

A. メールの履歴だけで、対象に含まれるかどうかを確定することはできません。IEEJは本人への通知を進めていると説明しており、10月2日付の公式発表の2ページ目に電話番号・受付時間・メールアドレスを含む問い合わせ先を掲載しています。心当たりがある場合は、通知と公式の問い合わせ案内を確認してください。通知が全員に完了したとは発表していません。

初心者が知っておくべきこと

「フィッシング攻撃」とは、実在する企業や組織になりすましたメールやメッセージを送り、偽のログイン画面にID・パスワードを入力させたり、悪意のあるファイルを開かせたりする手口です。今回のように、一度アカウントへの侵入を許すと、そのアカウントが過去にやり取りした大量のメール・ファイルがまとめて閲覧・持ち出しの対象になってしまう点が特徴です。

「Microsoft 365」は、メール・文書作成・表計算などの機能をインターネット経由で提供する、企業や官公庁で広く使われている業務用サービスです。社内システムに限らず、こうしたクラウドサービスのアカウントも、フィッシングによる乗っ取りの標的になります。

IT Postの見方

IT Postでは、今回のように「第一報の痕跡から、詳細調査で個人情報の種類と件数が明らかになる」というパターンが繰り返されている現状について、初動時点での公表内容を過信せず、続報の有無を確認し続けることの重要性を示す事例だと考えます。研究機関や企業がフィッシングの標的になること自体は避けがたい面がありますが、侵入を許したアカウントが扱っていた情報の範囲を、できるだけ早く正確に把握し、対象者に伝える体制を整えることが、被害の拡大を防ぐ鍵になるというのがIT Postの見方です。※個人の感想です

今後どうなりそうか

IEEJは本人への通知を進めていると説明し、再発防止策として認証の強化、監視・検知の高度化、全所員へのセキュリティ教育の再徹底を挙げています。IT Postでは、公式の続報で対象情報や対応状況が更新された場合に改めて取り上げます。