and secure企業のためのセキュリティ情報

トップ ＞ 企業インシデント

企業インシデント

【インシデント速報】2026年10月3日｜原子力機構 不正アクセスで175人分の身分証漏えい・日本郵便アプリ不正アクセス

公開

【インシデント速報】2026年10月3日｜日本原子力研究開発機構 不正アクセスで175人分の身分証画像・6人分のマイナンバーが漏えい・日本郵便アプリで19人・69件の顧客情報を不正取得


今日のポイント（3行以内）:


日本原子力研究開発機構は、研究炉JRR-3の外部利用者向けサイトが不正アクセスを受け、運転免許証やマイナンバーカードなどの顔写真付き身分証画像200ファイル、175人分の個人情報が漏えいした。マイナンバーを含む人も6人いた。

日本郵便は「郵便局アプリ」とID基盤「ゆうID」に不正アクセスを受け、19人・69件分の会員情報や配送情報が不正に取得された。クレジットカード情報やパスワードは含まれない。

どちらも9月25日に侵入を検知している。外部利用者に身分証画像を預かる仕組みと、顧客向けアプリの認証基盤は、自社でも「預かった本人確認情報」の管理として点検しておきたい。

① 日本原子力研究開発機構 — JRR-3の外部向けサイトが不正アクセス、175人分の身分証画像・健康診断結果が漏えい、マイナンバー6人分を含む

日本原子力研究開発機構（JAEA）は2026年10月1日、茨城県東海村の研究用原子炉JRR-3の利用手続きに使う「研究支援サイト」が不正アクセスを受け、175人分の個人情報が漏えいしたと公表した。侵入を検知したのは9月25日で、確認時点で外部からのアクセスを遮断している。同サイトは機構内部の業務ネットワークからは分離して運用されており、内部システムへの影響は確認されていないとしている。

攻撃者は同サイトに登録されていた2,419ファイルを不正にダウンロードし、そのうち個人情報を含むファイルが367件あった。内訳は、運転免許証・マイナンバーカード・パスポート・在留カードといった顔写真付き身分証の画像が200ファイル、放射線業務従事者の特殊健康診断の結果が146ファイル、放射線業務従事者証が21ファイル。このなかにマイナンバーが記載された人が6人含まれていた。情報が閲覧可能な状態になっていたのは2026年5月以降とみられる。侵入の経路や手口については調査中として公表されていない。

外部の利用者から本人確認書類を預かる仕組みが、業務本体のネットワークとは別に動いていた点が、被害を研究支援サイトの範囲にとどめた一方で、画像ファイルがまとめて持ち出される結果にもつながった。顔写真付きの身分証とマイナンバーは、なりすましや各種手続きの悪用に直結する情報であり、件数が175人と小規模でも一人あたりの被害が重くなりやすい。機構は対象者に個別に連絡し、個人情報保護委員会と警察へ報告したとしている。

中小企業への影響

取引先の登録や会員手続き、採用応募の受付などで本人確認書類の画像を預かる場面は、中小企業でも珍しくない。預かった免許証やマイナンバーカードの画像が一か所にたまり、しかも本業のシステムとは別の「申請用サイト」「ファイル共有」に置かれたまま消されずに残ると、今回のように侵入時にまとめて持ち出される。件数が少なくても、顔写真付き身分証はそれ単体で悪用価値が高い。

推奨対応

  • 本人確認書類の画像を預かる申請フォームや共有フォルダを洗い出し、手続きが終わった画像は保存期限を決めて確実に削除する運用にする
  • 外部利用者向けのサイトやアップロード機能は、社内の基幹システムとネットワークを分離し、アクセスできる担当者と期間を最小限にしぼる
  • マイナンバーを含む書類は他の個人情報と分けて保管し、収集・保管・廃棄の記録を残す。不要に長く持たない運用を徹底する

② 日本郵便 — 「郵便局アプリ」「ゆうID」に不正アクセス、19人・69件の会員情報・配送情報を不正取得

日本郵便は、スマートフォン向け「郵便局アプリ」と、同社サービス共通のID基盤「ゆうID」が不正アクセスを受け、19人分・69件の情報が外部から不正に取得されたと公表した。異常を検知したのは9月25日午後10時30分ごろで、同社はアプリを緊急メンテナンスに切り替え、翌26日にサービスを再開している。対象となった利用者には書面で個別に連絡するとしている。

不正に取得された情報には、ゆうID会員の氏名・住所・生年月日・性別・電話番号・メールアドレス・勤務先情報・家族状況のほか、アプリに登録されたアドレス帳（登録相手の氏名・住所・会社名・電話番号・メールアドレス）、配送に関する情報（送り主・届け先の氏名・住所・会社名・電話番号・メールアドレス、追跡番号、品名、配達予定）が含まれる。一方で、ログインパスワードやクレジットカード情報、金融機関の口座番号、マイナンバーといった金銭に直結する情報は対象に含まれていないとしている。侵入の具体的な手口は公表されていない。

被害が19人・69件と限定的である点から、データベース全体が抜き取られたのではなく、特定のアカウントや情報に絞った取得だったとみられる。少数でも、配送の送り主・届け先やアドレス帳まで渡ると、実在の荷物や知人を装った偽の連絡を作られやすい。大手インフラのアプリであっても、利用者一人ひとりの登録情報と連絡先がまとめて狙われうることを示した事案といえる。なお、同社では9月下旬に国際郵便の「調査請求ウェブ受付サービス」でも不正アクセスの可能性が報じられており、今回のアプリの件はこれとは別に確認されたものとされている。

中小企業への影響

顧客向けにアプリや会員サイトを用意している場合、少数のアカウントだけを狙った不正アクセスは「大量流出ではないから」と見逃されやすい。しかし、会員情報に加えてアドレス帳や取引・配送の相手先まで登録されていると、1件の侵入から第三者の連絡先まで芋づる式に漏れる。IDやパスワードを使い回している利用者がいれば、別サービスで漏れた認証情報でログインされる「リスト型攻撃」の入口にもなりうる。

推奨対応

  • 会員サービスやアプリのログインに、SMSやアプリによる多要素認証を導入し、パスワードだけで入れない状態にする
  • 短時間に多数のログイン試行や、普段と違う地域・端末からのアクセスを検知・通知できるようにし、少数アカウントへの侵入も見逃さない
  • アプリや会員情報に、アドレス帳や取引先の連絡先など「本人以外の第三者の情報」を必要以上に登録・保持させない設計に見直す
📌

このインシデントは継続追跡中です（詳細記事は順次公開予定）

編集部まとめ

今回の2件は、規模は違っても「預かった個人情報が外部に持ち出された」という点で共通する。原子力機構は本人確認書類の画像をまとめて失い、日本郵便は少数ながら会員情報とアドレス帳・配送先まで取得された。中小企業がまず着手できるのは、本人確認書類など重い情報の保存期限を決めて消すこと、そして会員・アプリの認証を多要素化し、少数アカウントへの侵入も検知できるようにすることの2点だ。件数の大小より、「何の情報を、どれだけの期間、どこに置いているか」を今日見直したい。関連する注意喚起は

AND SECURE

でも随時発信している。

企業インシデントの記事