原子力機構(JAEA)の研究支援サイトに不正アクセス、マイナンバー6人分はなぜ漏れたのか。175人分の内訳を確かめる

まず初めに

原子力研究機関、しかも研究用原子炉の利用手続きサイトが不正アクセスを受け、マイナンバーまで持っていかれた。「原子力」を名乗る組織ならセキュリティも鉄壁だろうと期待したいところだが、今回破られたのは業務ネットワークとは別に用意された、外部の研究者向け「研究支援サイト」だったという。本丸の警備が固くても、勝手口が開いていれば侵入は成立する——この手のインシデントで繰り返し見る構図だ。看板の重さと、実際の守りの固さは必ずしも一致しない。※個人の感想です

何が起きているのか

JAEAが運用する「研究支援サイト」は、茨城県東海村にある原子力科学研究所の研究用原子炉「JRR-3」の施設利用手続きなどに使われているシステムで、JAEAの内部業務ネットワークとは独立して運用されています。発表によると、何者かが利用者IDを作成してこのサイトにログインし、不正な方法で登録ファイルをダウンロードする行為が、2026年9月23日と25日の2回にわたって確認されました。

JAEAは9月25日に不正なダウンロードを確認し、調査を進めた結果、9月29日までに個人情報が含まれていたことを確認しました。不正にダウンロードされた登録ファイルは合計2,419件にのぼります。このうち175人分の個人情報が対象に含まれており、内訳は運転免許証やマイナンバーカードなど顔写真付きの公的身分証明書が200件、放射線業務従事者ほうしゃせんぎょうむじゅうじしゃ(放射線を扱う業務に携わる人)が受ける「特殊健康診断」の結果が146件、放射線業務従事者証明書が21件です。身分証明書のうち6人分にはマイナンバーも含まれていたとされています。研究支援サイトが業務ネットワークと分離されていたことから、他システムへの影響は確認されていないとしています。

なぜ重要なのか

今回の漏えいで注目すべき点は、健康診断結果や身分証明書といった、本人の身体・健康に関わる情報が含まれていたことです。要配慮個人情報ようはいりょこじんじょうほうに該当しうる健康診断結果が、研究用原子炉の利用手続きという、一見セキュリティと関係が薄そうな窓口から漏れた点は、業務の本流から外れた「周辺システム」ほど見落とされやすいという教訓を示しています。

また、マイナンバーが身分証画像の中に写り込む形で漏えいした点も見逃せません。マイナンバーカードの画像をそのまま本人確認に使う運用は官民問わず広く行われていますが、画像データとして保存・やりとりされる以上、そのファイルが漏れれば番号自体も一緒に流出することになります。

私たちへの影響

今回対象となったのは、JRR-3の施設利用手続きのために研究支援サイトを利用していた研究者等175人です。一般の利用者が直接影響を受けるものではありませんが、対象となった研究者は、身分証画像やマイナンバーの不正利用、なりすましなどの二次被害に注意する必要があります。JAEAは対象者への連絡を進めるとみられます。

初心者が知っておくべきこと

マイナンバーカードやその他の身分証を画像ファイルとして提出・保管する手続きは、研究機関に限らず、オンラインでの本人確認が必要な様々な場面で使われています。こうした画像ファイルは、番号そのものと同じ重みを持つ個人情報として扱われる必要があります。サービスを提供する側は、身分証画像を保管するサーバーやシステムに、通常のアカウント情報と同等以上のアクセス制限をかけることが求められます。

IT Postの見方

IT Postでは、今回のように「本業とは別の、外部向け周辺システム」が攻撃の突破口になるケースが後を絶たない現状について、組織の規模や看板の大きさとセキュリティ対策の実態は、必ずしも一致しないと考えます。原子力分野という性質上、内部の基幹システムは厳重に守られているであろう一方、研究者向けの利用申請サイトのような「副次的な」システムの対策水準が追いついていなかった可能性があります。大きな組織ほどシステムの数が多くなり、1つひとつの管理水準を均質に保つことが難しくなる構造的な課題として捉えるべきだとIT Postでは考えます。※個人の感想です

今後どうなりそうか

JAEAは今後、対象者への通知や、研究支援サイトの再発防止策を進めるとみられます。個人情報保護委員会への報告も行われる可能性があります。IT Postでは、原因の詳細や再発防止策について新たな発表があれば、改めて取り上げます。