日本商工会議所のネット試験管理システムに不正アクセスがあり、最大約98万人分、約197万件の受験者情報が漏えいした可能性が判明しました。 対象は日商簿記など8種類のネット試験で、氏名や生年月日、合否結果、得点などが含まれます。

システムの脆弱性対策は完了しており、ネット試験は通常どおり受験できます。 日本商工会議所は、同会議所や関係先を装ったメール、SMS、電話、郵便物への注意を呼びかけています。

対象は2022年4月から2026年11月の受験者情報

漏えいの可能性があるのは、2022年4月1日から2026年11月4日までに対象のネット試験を受験した人の情報です。 対象試験は、簿記、リテールマーケティング（販売士）、日商PC、電子会計実務、キータッチ2000、ビジネスキーボード、日商プログラミング、日商ビジネス英語の8種類です。

対象項目は、氏名、フリガナ、性別、生年月日、合否結果、試験得点。 任意入力のメールアドレス、電話番号、住所も含まれますが、クレジットカード情報など決済に使われる情報は含まれていません。

不正アクセスを受けたのは、試験の実施機関が予約や受験結果の管理に使う外部サーバーです。 一般の受験者がアクセスするシステムではありません。

11月1日に不正プログラム設置、4日深夜に修正

外部サーバーには11月1日に不正なプログラムが設置されていました。 日本商工会議所は11月4日、システム管理会社からの報告で不正アクセスを確認し、不正ファイルを直ちに削除しました。 同日深夜には、脆弱性を修正するパッチを適用しました。

その後の調査で、11月9日に受験者情報が漏えいした可能性が判明しました。 日本商工会議所は同日、個人情報保護委員会にこの事案を報告しました。

個人情報の漏えい等の報告制度では、不正な目的の行為による個人データの漏えいは、実際に流出した場合だけでなく、そのおそれがある場合も報告対象になります。 民間事業者等では、対象となる本人の数が1000人を超える漏えいや、そのおそれも報告義務の対象です。

連絡先を悪用したなりすましへの注意喚起

今回、漏えいの可能性がある情報には、氏名やメールアドレス、電話番号、住所が含まれています。 こうした情報は、実在する企業やサービスを装ったメール、SMS、電話などに悪用される可能性があります。 フィッシング詐欺は、実在する企業などを装う偽サイトへ誘導し、個人情報や認証情報をだまし取る手口です。

日本商工会議所は、身に覚えのないメールやSMSのリンク・添付ファイルを開かず、不審なサイトにパスワードやカード情報を入力しないよう呼びかけています。 また、同会議所がメール、SMS、電話などでパスワードやクレジットカード情報を尋ねることはありません。

情報流出に便乗し、「漏えいした情報を削除できる」などと持ちかけて金銭をだまし取ろうとする手口も確認されています。

漏えいへの不安や二次被害についての相談窓口

情報処理推進機構（IPA）の「情報セキュリティ安心相談窓口」は、個人情報の漏えいに不安を感じる一般利用者からの相談を受け付けています。 IPAは11月2日、情報漏えい後の対処方法や、フィッシング詐欺などの二次被害を防ぐための相談対応を強化しました。

同窓口は電話とメールで相談を受け付けています。 電話は03-5978-7509で、受付時間は平日10時から17時まで、メールはanshin@ipa.go.jpです。 今回の受験者情報に関する日本商工会議所事業部の問い合わせ先は03-6402-6154で、受付時間は平日9時30分から20時までです。