簿記や販売士のネット試験で最大98万人分 得点と合否も漏えいの可能性

社員が2022年4月から、簿記や販売士、日商PCをネット試験で受けていたなら、その人の名前や生年月日のほかに、点数と合否まで、漏えいしたかもしれない情報の中にあります。日本商工会議所（日商）が11月10日に公表したもので、対象は最大で約98万人分、約197万件。漏えいや不正利用は、今のところ見つかっていないといいます。

販売士の団体受験を社内でしている会社には、もう一つ確かめることがあります。そうした会社も、日商の管理画面にログインする側だからです。

受験者が開かない管理システムから

日商によると、不正アクセスを受けたのは「商工会議所ネット試験管理システム」です。発表の注には「ネット試験施行機関が試験予約や受験結果管理に使用するシステム（一般受験者のアクセスなし）」とあります。受ける人が予約に使う画面ではありません。会場を運営する側のためのもので、外のサーバーに置かれ、システム管理会社が運用していました。

経過はこうです。11月1日に「不正なプログラム（不正ファイル）」が置かれ、4日、システム管理会社からの知らせで日商が気づきます。ファイルはすぐに消し、その日の夜おそくにパッチを当てました。最大で約98万人分に及ぶとわかったのが9日。その日のうちに個人情報保護委員会へ報告し、次の日に公表しました。

98万人で197万件、1人あたり約2件です。日商は1件が何を指すかを書いていません。受けた回ごとに1件なら、3級のあとに2級を受けた人や、受け直した人の分が重なっているのでしょう。どちらの数え方でも、合否結果が項目にある以上、不合格だった人の結果も対象に入ります。

販売士を社内で受けさせた会社は、管理画面のIDも持っている

販売士の検定では、会社のパソコンを会場にして、社員にまとめて受けてもらう「団体受験」ができます。日商の案内によると、主な条件は、地元の商工会議所から施行機関として認められることと、1回に5名以上が受けること。1級から3級まで、どれもネット試験で行います。

販売士の案内によると、団体受験をする会社は「試験管理システム（団体用管理画面）」にログインして、当日に受ける人が使うIDとパスワードを受け取ります。今回の「商工会議所ネット試験管理システム」と同じものかは、発表からはわかりません。ただ、会場の側が予約や結果の管理に使う、という発表の注の説明とは、役割が重なります。

簿記や日商PCの会場になる施行機関には、手続きが終わると「ネット試験管理システム」のURLとIDとパスワードが届きます。こちらは今回のシステムと名前も重なります。

ところが、発表は会場の側に向けたことに一言も触れていません。管理画面のIDとパスワードを替えるのか。会場の担当者の名前や連絡先も、漏えいしたかもしれない情報に入るのか。どちらも、10日の発表には書かれていない点です。

販売士の団体受験は、来週の11月16日から20日にも日程があります。では、その回はどうなるのか。日商はパッチを当て終えたとして、「通常どおり受験していただけます」と伝えました。来週の回を控えた会社は、その前に日商へ問い合わせておくと、当日の担当者が迷わずにすみます。

同じ日のソフト99と、経過がよく似ている

10日には、自動車用品のソフト99も、公式オンラインショップへの不正アクセスを公表しました。2つの発表は気づき方から公表までの道筋がほぼ重なります。

どちらも、運用を任せた会社からの知らせで気づき、調べるとファイルが置かれていた事故です。知らせを受けてから公表まで、日商は6日、ソフト99は5日でした。ただ、いまの扱いは分かれています。ソフト99はショップを一時止め、日商は対策を終えたとして「通常どおり受験していただけます」と案内しました。

運用を外に任せたシステムでは、最初におかしな動きに気づくのは委託先です。日商でも、ファイルが置かれてから知らせが届くまでに3日ありました。自社に知らせが届くまでの時間は、委託先との取り決めに左右されるとみています。報告の期限を契約に書いていない委託先があるなら、今回の2件は見直すきっかけになりそうです。

うちの会社に当てはまる3つの場合

関係があるのは、次のどれかに当たる会社です。

• 社員が2022年4月1日から2026年11月4日に、対象の8つの試験をネット試験で受けた。簿記、販売士、日商PC、電子会計実務、キータッチ2000、ビジネスキーボード、日商プログラミング、日商ビジネス英語です。
• 受けた社員が、入れても入れなくてもよい欄に、会社のメールアドレスや電話番号を書いていた。メールアドレスと電話番号、住所も、漏えいしたかもしれない項目に挙がりました。
• 販売士の団体受験をしたことがある。または、研修の施設や学校として、簿記などの会場になっている。

逆に、2022年3月までに受けただけの社員は、対象の期間の外です。簿記でネット試験があるのは2級、3級、初級、原価計算初級で、対象は「ネット試験」で受けた人に限られます。CBTソリューションズのテストセンターは、施行機関とは会場の登録の手順が別です。ただ、発表は対象を会場で分けず、「ネット試験を受験した受験者」としています。そこで受けた社員も、対象に入るものとして扱っておくと漏れません。

研修で使ったサービスから情報が漏れたJNSAの理解度チェックの件では、受講者IDに何を使っていたかによって、漏れた中身が変わりました。今回は資格の試験で、販売士では、名簿に書いた名前と生年月日がそのまま認定証に印字されます。会社の側で減らせたのは、任意の欄に会社の連絡先を入れるかどうかくらいでした。

今週、人事や総務と確かめること

情シスだけで抱える話ではありません。受けた社員を知っているのは人事、受験料を払ったのは総務か経理です。だから、最初の一歩は名簿づくりになります。

1. 手当を申し込んだ人の一覧や、受験料を立て替えたときの精算、研修の記録をたどって、対象の期間に受けた社員を見つけます。合格しても手当を申し込まなかった人もいるので、全員あての知らせと組み合わせます。
2. 販売士の団体受験をした会社は、会場の担当者と、団体用管理画面のIDを使っていた人を確かめます。そのうえで、IDとパスワードをどう扱うかを、日商の事業部（03-6402-6154、平日9時30分〜20時）に問い合わせます。来週の回を予定していれば、今週のうちに。
3. 会社のメールアドレスで申し込んだ社員がいれば、「商工会議所」や「検定」を名乗るメールが届いたときに、どこへ転送してもらうかを決めておきます。
4. 社員への注意は、日商の案内の範囲で出します。日商は「当所からメール、SMS、電話等でパスワードやクレジットカード情報をお伺いすることはありません」としています。

注意の文面に、受けた人の名前を並べない

今回の項目で、名前や生年月日より扱いにくいのは、点数と合否です。昇格の条件に簿記を入れている会社なら、だれがいつ受けて、どうだったかは、人の評価にもつながる話でしょう。

社内に注意を出すとき、対象の社員の名前を一覧にして回すと、漏えいのおそれより先に、社内で合否が知られてしまいます。受けたとわかっている社員には一人ずつ、ほかの社員には全員あての注意として。一人ずつの連絡は少し手間ですが、合否が社内に広まるのは防げます。