日本商工会議所は2026年11月10日、ネット試験の試験管理システムへの不正アクセスで、最大約98万人分（約197万件）の受験者情報が漏えいした可能性があると発表。対象は2022年4月以降に8試験を受けた人で、合否結果や試験得点も含まれる。経緯と対象を整理する
簿記の試験に、まさか「合否と点数までセットで漏えいの可能性」というオプションが付くとは、受験した側は思ってもみなかったはずである。資格試験の成績は、就職や転職の場面で自分から開示するかどうかを選ぶ情報だ。その選択権ごと、外部のサーバーに置かれた不正ファイルの向こう側へ行った可能性がある。試験そのものは止まっていない。止まっていないからこそ、対象かどうかを自分で確かめる材料が要る。
※個人の感想です
日本商工会議所は2026年11月10日17時、「商工会議所ネット試験管理システムへの不正アクセスによる受験者情報（個人情報）漏えいの可能性について」を公表しました。
不正アクセスを受けたのは、同会議所がネット試験で利用している外部サーバー、すなわち試験管理システムです。このシステムは、ネット試験の施行機関が試験予約や受験結果の管理に使用するもので、一般の受験者がアクセスするものではありません。
経緯は、次のとおりです。
| 日時 | 確認した事象 |
|---|---|
| 2026年11月1日 | 試験管理システムに不正なプログラム（不正ファイル）が設置されていた（後の調査で判明） |
| 2026年11月4日 | システム管理会社からの報告で不正アクセスを確認。不正ファイルを即時削除し、同日深夜に脆弱性対策（パッチ適用）を実施 |
| 2026年11月9日 | 最大約98万人分の受験者情報が漏えいした可能性が判明。個人情報保護委員会へ報告 |
| 2026年11月10日17時 | 本事案を公表 |
同会議所は、「現時点において、当該受験者情報が漏えいした事実や、不正利用された事実は確認されておりません」としたうえで、漏えいが否定できないことから個人情報保護委員会へ報告した、と説明しています。「漏えいした可能性がある」という表現のまま受け取る必要があります。
対象となるのは、2022年4月1日から2026年11月4日までに、次の8種類のネット試験を受験した人です。
| 対象試験 | 漏えいの可能性がある情報 |
|---|---|
| 簿記、リテールマーケティング（販売士）、日商PC、電子会計実務、キータッチ2000、ビジネスキーボード、日商プログラミング、日商ビジネス英語 | 氏名、フリガナ、性別、生年月日、合否結果、試験得点、任意入力項目（メールアドレス、電話番号、住所） |
対象は最大約98万人分、件数にして約197万件です。98万は人数の目安、197万は延べ件数であり、同じ人が複数の試験や複数回受験した分も含まれるため、2つの数字は同じものを指していません。「197万人の情報が漏れた」と読み替えるのは正確ではありません。
クレジットカード情報など、決済に利用される情報は含まれていない、としています。
なお、対象者へ個別にどう連絡するかや、自分が対象かどうかを照会する方法は、今回の公表文には示されていません。紙の統一試験の受験者が対象に含まれるかどうかについても、公表文に記載はありません。
同会議所は、不正ファイルの削除と脆弱性対策のパッチ適用を11月4日のうちに実施し、「既に脆弱性対策を完了していますので、商工会議所ネット試験は通常どおり受験していただけます」と案内しています。
本件の問い合わせ先は、日本商工会議所 事業部（電話03-6402-6154、平日9時30分〜20時）です。
大学のポータルが狙われた早稲田大学の事案と同様に、教育・試験の周辺システムが対象になるケースが続いています。受験者が直接触る画面ではなく、その裏側で予約と成績を管理するシステムが侵入先でした。
同会議所は、受験者の情報が第三者に不正に取得されている可能性があるため、同会議所や関係先等を装った不審なメール（フィッシングメール）、SMS、電話、郵便物などが届くおそれがあるとして、注意を呼びかけています。
同会議所からメール、SMS、電話等でパスワードやクレジットカード情報を尋ねることはない、と明記されています。「成績確認のため」「再発行手続きのため」といった口実で認証情報を入力させる連絡が来ても、記載されたリンクからは手続きを進めないでください。不審なメールの見分け方は、フィッシングSMSの見分け方をまとめたガイドも参考になります。
IT Postでは、今回の件で見逃せないのは、侵入先が「受験者が触らないシステム」だった点だと考えます。試験管理システムは施行機関が予約と結果を管理するためのもので、一般受験者のアクセスはありません。利用者側の画面がどれだけ固くても、裏側の運用システムに置かれた1つの不正ファイルで、4年半分の受験記録が「漏えいの可能性」の範囲に入る。利用者から見えない場所ほど、点検の目が届きにくいという構造が、そのまま出ています。
もうひとつは、合否と得点が対象に含まれることです。氏名と連絡先の漏えいは多くの事案で共通しますが、試験の成績は本人が開示先を選んできた情報です。不合格だった事実まで含めて「取得された可能性がある」という状態は、連絡先の漏えいとは別種の重さがあります。対象者への個別連絡の方法と、対象かどうかを本人が確認できる手段が公表文に無い点は、続報で埋めるべき空白です。判明から公表までの流れ自体は、11月9日に可能性を把握して同日に個人情報保護委員会へ報告し、翌日に公表と、手順としては速い部類でした。
※個人の感想です
次の確認点は、漏えいの有無の確定、対象者への個別連絡の方法、本人が対象かどうかを確認できる手段、そして侵入経路の説明です。不正ファイルが設置できた経緯が示されなければ、パッチ適用で対策完了とする説明の範囲も測れません。
IT Postでは、続報が公表された場合は本記事を更新します。
「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。
早稲田大学は2026年11月9日、ポータルサイト「MyWaseda」のログイン用ユーザー情報を管理するシステムへの不正アクセスで、教職員番号や氏名、暗号化されたパスワードなど延べ3,342件が第三者に取得されたと公表。卒業生向けサービスは一時停止が続く。対象の内訳と対応を整理する
シェアフル株式会社は2026年11月9日、社内管理システムへの不正アクセスで、個人アカウント最大約750万件と求人企業最大約7,500社の情報が流出した可能性があると発表。11月4日発生、5日に検知と遮断。対象と、対象に含まれない情報を整理する
株式会社よーじやは2026年11月9日、会員情報管理システムの会員情報取得APIが第三者に不正利用され、会員13万1,557名分の個人情報が取得されたと発表（第一報）。潜在的な最大は13万4,344名。カード情報とログインパスワードは保持しておらず対象外。経緯と対策を整理する
ソフト99コーポレーションは2026年11月10日、公式オンラインショップへの不正アクセスで、2026年11月5日までに会員登録・購入した最大136,968人の個人情報が漏えいした可能性があると発表。問い合わせフォームの画像添付機能からプログラムファイルが置かれた経緯と、対象情報を整理する
株式会社ニトリホールディングスは2026年11月9日、同社が管理するシステムへの不正アクセスで、個人会員・購入者・法人会員の情報やECモールの注文データ最大3,762万件が流出した可能性があると発表。11月6日に判明し、10月中旬〜下旬のアクセスの可能性も確認。対象と対応を整理する
内閣府は2026年11月11日、アララのメール配信サービスへの不正アクセスで、同府のメールマガジン利用者のメールアドレス合計62,863件（重複を除くと61,751件）が漏えいしたと発表した。対象は公益法人、食品安全委員会、RESASなど14種のメールマガジンと運用管理用。登録時の氏名や属性などは「漏えいしたおそれ」として調査中
Bing検索からのクリック数にもとづく（集計期間: 2026年9月26日〜2026年10月23日）
