JOGMECに不正アクセス メールアドレス約8500件漏えいの可能性 外部の通報で判明

独立行政法人エネルギー・金属鉱物資源機構(JOGMEC)は2026年10月2日、情報システムへの外部からの不正アクセスで、個人情報が漏れた可能性があると発表しました。対象は、役職員のメールアドレス約1,100件と、機構以外のメールアドレス約7,400件の計約8,500件です。

JOGMECが自分で気づいたのではなく、外部の機関からの情報提供を受けて、外部の専門事業者と調べた結果、9月9日に分かりました。個人情報保護委員会を含む関係機関には報告済みです。

発表で分かっていること

外部からの知らせで気づいた

今回は、JOGMECの側の監視ではなく、外部の機関からの知らせが入口でした。どのシステムに、いつから、どんな方法で入られたのか、外部の機関がどこなのかは書かれていません。

判明から公表まで23日、公表から3週間がたちます。10月22日の時点で、JOGMECのサイトで続報は見当たりません(当社調べ)。対象の人への個別の連絡が、どこまで進んだかも分かっていません。

メールアドレスだけでも起きること

漏れた可能性があるのはメールアドレスだけですが、それでも狙われやすくなります。

• なりすましのメール。 JOGMECとやりとりのある相手のアドレスが分かると、JOGMECや役職員を名乗って、添付ファイルやリンクを開かせるメールを送りやすくなります
• 相手を選んだ攻撃の下調べ。 機構以外のアドレス約7,400件には、JOGMECとやりとりのある会社や団体の人が含まれるとみられます。資源やエネルギーに関わる組織の担当者の一覧として使われるおそれがあります
• 迷惑メールの増加。 本物のアドレスと分かっていると、送り先として使われやすくなります

いずれも、発表は不正に使われた事実を確認していないとしています。ただ、アドレスの写しは一度出ると取り戻せないため、受け取る側で備えるしかありません。

まだ分かっていないこと

• 入られた情報システムの名前と、入られた方法
• 不正アクセスがいつから続いていたか
• 情報提供をした外部の機関
• メールアドレスのほかに、メールの本文や添付ファイルが見られたか
• 対象の人への個別の連絡の進み具合

影響する会社・しない会社

• 影響する: JOGMECとメールでやりとりした会社・団体・個人。機構以外のメールアドレス約7,400件が、漏れた可能性の対象です。JOGMECから個別の連絡が来る予定です
• 影響する: JOGMECの役職員。役職員のメールアドレス約1,100件が対象です
• 確かめる: JOGMECと取引や共同の事業がある、資源・エネルギー関連の会社。社内でJOGMECとやりとりしている部署を把握し、注意を伝えます
• 発表では示されていない: メールアドレスのほかの個人情報や、公開・不正利用の事実

情シスが今日やること

1. やりとりのある部署に注意を出します。 JOGMECや関係者を名乗るメールの添付ファイルやリンクは、送り主に別の手段で確かめてから開くよう伝えます。
2. なりすましを見分ける設定を確かめます。 受け取るメールで、送信元の認証(SPF・DKIM・DMARC)の結果を見て、怪しいものに印を付けたり、隔離したりできているかを見ます。
3. 外部からの通報の受け方を決めます。 外部の機関から「侵入の疑いがある」と連絡が来たとき、誰が受けて、どのログを、どの専門事業者と調べるかを、前もって決めておきます。
4. 自分で気づける監視かを見直します。 インターネットに面したシステムの、ふだんと違うログインや通信を見張れているかを確かめます。JOGMECも、アクセス制限、認証、監視を強めるとしています。
5. 報告と連絡の段取りを確かめます。 漏えいの可能性が分かったときの、個人情報保護委員会への報告、本人への連絡、公表までを、誰が進めるかを決めておきます。