独立行政法人日本学術振興会は2026年11月6日、電子申請システムへの第三者による不正アクセスを確認したと発表。発生と確認は10月29日で、確認後直ちに外部ネットワークから切断し、システムは停止中。対象は科研費、研究者養成事業、国際交流事業の申請。不正アクセスは個人情報等が保存されていない外部公開領域で発生し、現時点で個人情報等の漏えいは確認されていない。復旧と手続き継続の案内は準備でき次第とされる
研究費の申請窓口が、10日近く止まっている。漏えいは確認されていない、という一文は安心材料だが、申請の締切は待ってくれないのがこの世界の残酷なところだ。「情報は無事でした」で終わる事故でも、止まった時間のほうは取り戻せない。研究者にとっての被害は、データではなくカレンダーのほうに先に付く。
※個人の感想です
日本学術振興会は、大学などの研究者向けに研究費の助成や研究者養成、国際交流の事業を行う独立行政法人です。中でも科学研究費助成事業、いわゆる科研費は、全国の研究者が研究計画を申請して審査を受ける、日本の研究資金の中心的な仕組みです。その申請は、同会の電子申請システムを通じて行われます。
同会の発表によると、2026年10月29日に、電子申請システムにおいて第三者からの不正アクセスが発生し、同会も同日にこれを確認しました。確認後、同会は直ちに電子申請システムを外部ネットワークから切断しました。システムは現在も停止中です。
公表は11月6日です。発生と確認から公表までには約1週間の間隔があり、その間、利用者側から見ればシステムは停止したままでした。公表時点で、復旧の時期は示されていません。
影響範囲として示されたのは、電子申請システム全体、具体的には次の3事業です。
いずれも、申請や手続きをオンラインで行うための入口が止まっている状態です。研究機関の研究支援の現場では、原子力機構（JAEA）の研究支援サイトへの不正アクセスのように、研究そのものではなく「研究を支える事務のシステム」が狙われる事例が続いています。
被害状況については、不正アクセスは個人情報等が保存されていない外部公開領域で発生した、と説明されています。また、現時点では個人情報等の漏えいは確認されていません。ただし、「引き続き詳細な調査を実施中」とも明記されており、これは最終結論ではありません。侵入の手口や原因についても、この発表では示されていません。
実務上の問題は、停止期間中の手続きをどう続けるかです。発表では、電子申請システムの復旧と、本システムを利用していた手続等の継続方法について「研究者及び研究機関に可能な限り支障が生じないよう、対応をとっていく予定であり、準備でき次第、関係する皆様にお知らせいたします」とされています。つまり、公表の時点では、代替の受付方法や締切の扱いはまだ決まっておらず、今後の案内を待つ状態です。
申請を予定していた研究者や、機関の事務担当者がいま確認しておくべきことは、次のとおりです。
二次被害や、申請データの改ざんなどについては、この発表では触れられていません。確認されていないことは「起きていない」と同義ではないため、続報の内容が重要になります。
今回の発表で判断の軸になるのは、この2つの表現です。
「外部公開領域」とは、インターネット側から誰でも触れる場所に置かれた部分を指す説明です。同会は、不正アクセスが起きたのはその領域であり、個人情報等が保存されていない場所だったとしています。つまり、申請者の情報が入った保管場所そのものに到達された、という発表ではありません。
「現時点では個人情報等の漏えいは確認されていません」は、「漏えいしなかったことが証明された」とは別の文です。確認できている範囲では見つかっていない、という意味であり、同会自身が「引き続き詳細な調査を実施中」と付け加えています。続報で調査結果が確定するまでは、この2つを分けて読む必要があります。
整理すると、現時点の確定事項と未確定事項は次のとおりです。
| 項目 | 現時点の公表内容 |
|---|---|
| 発生と確認 | 2026年10月29日に発生し、同会が同日に確認 |
| 初動 | 確認後、直ちに外部ネットワークから切断。現在も停止中 |
| 対象システム | 電子申請システム（科研費、研究者養成事業、国際交流事業） |
| 起きた場所 | 個人情報等が保存されていない外部公開領域 |
| 個人情報の漏えい | 現時点では確認されていない（詳細調査は継続中） |
| 侵入の手口・原因 | 公表されていない |
| 復旧時期 | 示されていない |
| 手続きの継続方法 | 可能な限り支障が生じないよう対応予定で、準備でき次第案内 |
IT Postでは、今回の事案は「漏えいゼロでも、止まれば被害」という、可用性の事故として読むべきだと考えます。不正アクセスが起きた場所が個人情報を持たない外部公開領域だったことは、設計上の区切りが効いた結果とも言えます。情報の置き場を分けていたからこそ、「漏えいは確認されていない」と言える。一方で、申請の入口は1か所しかないため、そこを切断すれば事業全体の手続きが止まる。守るべきものを分ける設計と、止めずに済む設計は、別の話なのです。
もう一つは、公表のタイミングです。確認したその日に切断した初動は速い。ただし、利用者が「なぜ申請できないのか」を知ることができたのは約1週間後でした。調査の確度と公表の速さの兼ね合いはどの組織でも難しい問題ですが、締切のある手続きを抱える利用者にとっては、原因が未確定でも「止めている理由」だけは早く知りたいところです。
今後の確認点は、調査結果（侵入の手口と範囲の確定）、復旧の時期、そして停止期間中の手続きの継続方法と締切の扱いです。公表すべき事項が生じた場合は速やかに知らせるとされています。
IT Postでは、新しい公式情報が確認できれば続報として整理します。
「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。
宝くじ公式サイトと公式アプリは、パスワードが意図せず変更される事象を受けて利用を一時停止中。2026年11月6日の発表では、一部のお客さまについて第三者による不正ログインがあり、会員情報が閲覧された可能性があると確認された。外部で入手されたメールアドレスとパスワードの一覧を使った攻撃の可能性があり、サーバーやデータベースへの侵入の形跡はなく、会員データの流出も確認されていない。使い回している人への変更の呼びかけと確認の仕方を整理した
SMBCコンシューマーファイナンスは2026年11月5日、カードローン等の保証業務に使うシステムへの不正アクセスで、最大320,118人分の個人情報を含むデータが外部へ送信されたと発表。対象は氏名や住所に加え、運転免許証番号、勤務先情報と年収、保証額などの契約情報。保証会社経由のため「自分の銀行は無事」でも対象になり得る点と、確認の仕方を整理した
クラウド・ホスティングの使えるねっとは2026年11月7日、同社システムへの第三者による不正アクセスで、契約管理ポータル「使えるポータル」の顧客情報の漏えいが判明したと発表。項目と範囲は調査中、カード情報は同ポータルに保管がなく対象外。一部の共有サーバーでも不正アクセスを確認し、11月2日時点のバックアップから復元したため、それ以降11月7日早朝までのWeb更新データと送受信メールが失われた。収容機に関係するVPS127件は侵入が確認された数ではなく調査対象。ポータルのパスワードはリセット済みで再設定と2FA再設定が必要
株式会社シグナルトークは2026年11月7日、オンライン麻雀「Maru-Jan」への不正アクセスで、全会員185万5,578人分のメールアドレスとパスワードの流出を確認したと発表。管理システムの機能が悪用され11月4日までにデータがダウンロードされていた。パスワードの保存形式は公表されておらず、使い回しの変更を含め、利用者が取るべき対応を整理した
パシフィックリーグマーケティング（PLM）は2026年11月6日、球団公式サイト関連の2つの流出を公表。メール配信サービス「アララメッセージ」経由で5球団計1万3,711件のメールアドレスが流出し、別に千葉ロッテマリーンズの公式サイトへの侵入でメールアドレス1万1,875件とニックネーム3万7,070件を含むファイルがダウンロードされていた
日本ネットワークセキュリティ協会（JNSA）は2026年11月6日、「情報セキュリティ理解度チェックサービス」への不正アクセスで、利用者情報が最大1万5,128件漏えいした可能性があると第一報を公表。対象項目と、利用者・管理者が取るべき確認を整理した
Bing検索からのクリック数にもとづく（集計期間: 2026年9月26日〜2026年10月23日）
