--- title: "日本エネルギー経済研究所の不正アクセス、旅券13件は漏えい確認。メール情報759件などは可能性として続報を読む" description: "IEEJの10月2日続報では、メール情報759件と氏名・役職・所属23件は漏えいの可能性、旅券13件は確認済み。通知と問い合わせ先も公式発表から確認する" url: https://itpostjp.com/security/ieej-unauthorized-access-passport-leak-confirmed/ category: "セキュリティ" published_at: 2026-10-02T22:30:00Z updated_at: 2026-10-03T03:57:05Z author: "IT Post編集部" editor: "編集長 千田智也" publisher: "IT Post by Rice Studio Lab" language: ja-JP ai_generated: true ai_model: claude-sonnet-5 terms: ["セキュリティインシデント", "フィッシング"] --- # 日本エネルギー経済研究所の不正アクセス、旅券13件は漏えい確認。メール情報759件などは可能性として続報を読む IT Post編集部 ＆ 編集長 千田智也 IEEJの10月2日続報では、メール情報759件と氏名・役職・所属23件は漏えいの可能性、旅券13件は確認済み。通知と問い合わせ先も公式発表から確認する ## 30秒で分かる結論 - 一般財団法人日本エネルギー経済研究所(IEEJ)は、2026年9月11日に公表した不正アクセスについて、10月2日に詳細調査の結果を続報として発表しました。 - 所員6人のMicrosoft 365アカウントへの不正アクセスに関する詳細調査では、メールアドレス759件と氏名・役職・所属23件は漏えいの可能性がある情報、パスポート情報13件は漏えいが確認された情報として区別されています。 - 2026年10月2日時点で、漏えいした情報が不特定多数に公開された事実や、不正に利用された事実は確認されていません。 ## まず初めに 国のエネルギー政策を陰で支える調査機関が、フィッシング攻撃による不正アクセスを公表した。情報を分析するプロ集団でも、分析力がアカウントの門番まで兼ねてくれるわけではない。9月の第一報では、ファイルのダウンロードによる漏えいを既に公表していた。10月の続報では個人情報の種類と件数が示されたが、「確認済み」と「可能性」をひとまとめにすると、肝心の違いを読み落とす。数字が並んでいても、足し算を急ぐ場面ではない。※個人の感想です ## 何が起きているのか 一般財団法人日本エネルギー経済研究所(IEEJ)は、1966年に設立され、当時の通商産業省(現在の経済産業省)の認可を受けた財団法人です。国内外のエネルギー需給動向の分析や、エネルギー政策に関する調査・提言を行っており、経済産業省の委託事業なども手がける、エネルギー政策の基礎データを提供する研究機関です。 IEEJによる9月11日の第一報によると、第三者がフィッシング攻撃を起点に、所員6人のMicrosoft 365アカウントへ不正にアクセスしました。発端は2026年7月29日、外部機関からの情報提供で不審な動きが判明したことです。調査の結果、対象アカウント内のメール閲覧5,417件、ファイル閲覧3,272件の痕跡が見つかり、このうち2,798件のファイルにはダウンロードの痕跡も確認されました。 ![メールと警告マークを描いた挿絵](/images/articles/ieej-unauthorized-access-passport-leak-confirmed-inline-1.webp) 10月2日の公式続報では、詳細調査の結果を「漏えいした可能性のある個人情報」と「漏えいした個人情報」に分けて示しています。可能性のある情報はメールアドレス759件で、うち755件に氏名、36件に電話番号、5件に口座名義・口座番号などの金融関係情報が含まれます。同じ可能性の区分に、氏名・役職・所属23件も記載されています。一方、パスポート情報13件は漏えいが確認された情報として掲載されています。公式発表は旅券13件をメール情報759件に含まれるものとは説明しておらず、これらの区分の合計人数や重複関係は推測しません。 対象情報の内訳を整理すると、次のようになります。 | 公式発表の区分 | 対象情報 | 件数 | 補足 | | --- | --- | --- | --- | | 漏えいの可能性 | メールアドレス | 759件 | うち755件に氏名を含む | | 漏えいの可能性 | 電話番号 | 36件 | メールアドレス759件の内訳 | | 漏えいの可能性 | 金融関係情報(口座名義・口座番号等) | 5件 | メールアドレス759件の内訳 | | 漏えいの可能性 | 氏名・役職・所属 | 23件 | 公式発表で別項目として記載 | | 漏えい確認済み | パスポート情報 | 13件 | 759件への包含や合計人数を意味しない | ## なぜ重要なのか 9月11日の公表段階で、メール・ファイルの閲覧による漏えいの可能性と、ファイルのダウンロードによる漏えいの発生は既に説明されていました。10月2日の続報は、詳細調査に基づいて個人情報の種類と件数を区別したものです。IT Postでは、続報を読む際は件数の大きさだけでなく、「可能性」と「確認済み」のどちらに分類されているかを確かめることが重要だと考えます。 フィッシングは、相手をだまして認証情報を入力させるなどして侵入の足掛かりを得る手口です。一方、ランサムウェアはファイルの暗号化などにより身代金を要求するマルウェアです。攻撃の入口と侵入後の行為は別の分類で、フィッシングからランサムウェア被害につながる場合もあります。[CISAのガイド](https://www.cisa.gov/stopransomware/ransomware-guide)も、フィッシングを初期侵入経路の一つに挙げています。本件についてIEEJが[9月11日の発表](https://eneken.ieej.or.jp/press/press260911.pdf)で公表しているのは、フィッシング攻撃による所員6名のMicrosoft 365アカウントへの不正アクセスです。メールの本数や特定の職員の操作・判断は、この発表には記載されていません。 ## 私たちへの影響 今回の対象は、漏えいの可能性があるメール情報や氏名・役職・所属、漏えいが確認されたパスポート情報に関係する本人です。メールの相手先だけに限定して対象を判断することはできません。IEEJは10月2日の発表で、本人への通知を進めていると説明しています。特にパスポート情報や金融関係情報が含まれていた人は、心当たりのない連絡や、IEEJまたは関係省庁を名乗る不審な電話・メールに注意してください。 金融機関や官公庁、研究機関が、電話やメールで口座の暗証番号やパスポート番号そのものを確認してくることは通常ありません。不審な連絡を受けた場合は、その場で対応せず、公式の窓口に自分から確認することをおすすめします。 ## よくある質問 **Q. 自分がIEEJとメールのやり取りをしたことがあるか分からない場合は?** A. メールの履歴だけで、対象に含まれるかどうかを確定することはできません。IEEJは本人への通知を進めていると説明しており、[10月2日付の公式発表](https://eneken.ieej.or.jp/press/press261002.pdf)の2ページ目に電話番号・受付時間・メールアドレスを含む問い合わせ先を掲載しています。心当たりがある場合は、通知と公式の問い合わせ案内を確認してください。通知が全員に完了したとは発表していません。 ## 初心者が知っておくべきこと 「フィッシング攻撃」とは、実在する企業や組織になりすましたメールやメッセージを送り、偽のログイン画面にID・パスワードを入力させたり、悪意のあるファイルを開かせたりする手口です。今回のように、一度アカウントへの侵入を許すと、そのアカウントが過去にやり取りした大量のメール・ファイルがまとめて閲覧・持ち出しの対象になってしまう点が特徴です。 「Microsoft 365」は、メール・文書作成・表計算などの機能をインターネット経由で提供する、企業や官公庁で広く使われている業務用サービスです。社内システムに限らず、こうしたクラウドサービスのアカウントも、フィッシングによる乗っ取りの標的になります。 ## IT Postの見方 IT Postでは、今回のように「第一報の痕跡から、詳細調査で個人情報の種類と件数が明らかになる」というパターンが繰り返されている現状について、初動時点での公表内容を過信せず、続報の有無を確認し続けることの重要性を示す事例だと考えます。研究機関や企業がフィッシングの標的になること自体は避けがたい面がありますが、侵入を許したアカウントが扱っていた情報の範囲を、できるだけ早く正確に把握し、対象者に伝える体制を整えることが、被害の拡大を防ぐ鍵になるというのがIT Postの見方です。※個人の感想です ## 今後どうなりそうか IEEJは本人への通知を進めていると説明し、再発防止策として認証の強化、監視・検知の高度化、全所員へのセキュリティ教育の再徹底を挙げています。IT Postでは、公式の続報で対象情報や対応状況が更新された場合に改めて取り上げます。 ## 訂正履歴 - 2026-10-03T03:57:05Z: フィッシングとランサムウェアを排他的な攻撃分類とした説明を訂正しました。フィッシングはランサムウェアの初期侵入経路にもなり得ることをCISAのガイドに基づき説明し、IEEJが公表していない「メール1通」「職員1人の判断ミス」という特定を削除しました。所員6名のアカウントへの不正アクセスは9月11日の公式発表に基づき記載しています。既存の漏えい区分・件数・時系列・通知に関する訂正は維持しています。 - 2026-10-03T03:06:42Z: メール情報759件と氏名・役職・所属23件は漏えいの可能性、パスポート情報13件は漏えい確認済みとして区別しました。旅券13件を759件に含める説明や、全件確認済みと読める説明を訂正。9月11日の公表時点でファイルのダウンロードによる漏えいを確認していたこと、本人への通知が進行中で、公式PDFに問い合わせ先が掲載されていることを反映しました。合計人数や区分の重複は推測していません。 ## 情報源 - [不正アクセスによる情報漏えいに関するお詫びとお知らせ（続報）](https://eneken.ieej.or.jp/press/press261002.pdf) — 日本エネルギー経済研究所（一次情報） - [不正アクセスによる情報漏えいに関するお詫びとお知らせ（2026年9月11日）](https://eneken.ieej.or.jp/press/press260911.pdf) — 日本エネルギー経済研究所（一次情報） - [#StopRansomware Guide](https://www.cisa.gov/stopransomware/ransomware-guide) — CISA / MS-ISAC / NSA / FBI（一次情報） - [日本エネルギー経済研究所、不正アクセスの続報 パスポート情報13件の漏えい確認 - ITmedia NEWS](https://www.itmedia.co.jp/news/article/2610/02/2000001976/) — ITmedia NEWS - [日本エネルギー経済研究所にフィッシング攻撃、所員6名のMicrosoft 365アカウントに不正アクセス - ScanNetSecurity](https://scan.netsecurity.ne.jp/article/2026/10/02/56376.html) — ScanNetSecurity - [日本エネルギー経済研究所、Microsoft 365の6アカウントに不正アクセス 2,798件のファイルダウンロードで情報漏えい - セキュリティ対策Lab](https://rocket-boys.co.jp/security-measures-lab/ieej-m365-6-accounts-2798-files-report/) — セキュリティ対策Lab ## この記事に出てくるIT用語 - [セキュリティインシデント](https://itpostjp.com/terms/security-incident/): 不正アクセスや情報漏えい、マルウェア感染など、情報セキュリティ上の脅威となる事象全般を指す言葉です。 - [フィッシング](https://itpostjp.com/terms/phishing/): 実在する企業になりすまして、パスワードやカード番号をだまし取る詐欺です。 --- この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。 出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/ieej-unauthorized-access-passport-leak-confirmed/