JNSAの個人情報漏えいの恐れ｜情報セキュリティ理解度チェックサービスへの不正アクセス最大15,128件 2026

Q: Q. 問い合わせはどこにすればいいですか？

第一報に載っている問い合わせ先は sec@jnsa.org で、電話番号は書かれていません。届いたメールに返信するのではなく、自分で宛先を入力して送ってください。問い合わせのメールにもパスワードは書かないでください。

2026年11月7日

＠SOHO編集部

この記事のポイント

✓JNSAの情報漏洩について
✓2026年11月6日の第一報をもとに整理
✓情報セキュリティ理解度チェックサービスへの不正アクセスで

JNSAの情報漏洩について、特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）は2026年11月6日に「不正アクセスによる「情報セキュリティ理解度チェックサービス」からの利用者個人情報漏えいの恐れに関するお知らせ（第一報）」を発表しました。同協会が運営する情報セキュリティ理解度チェックサービスが第三者の不正アクセスを受け、対象者は最大15,128件と見込まれる、という内容です。漏えいしたと見込まれるのは、これまで管理者登録された人と利用ユーザの、管理者氏名、管理者企業名、管理者メールアドレス、組織所在地・従業員数・業種、利用ユーザ数、利用者のID/PW（パスワードはハッシュ化）です。このサービスを使っていた会社の担当者がまずすることは、JNSAを名乗るメールのリンクを開かないことと、同じパスワードをほかのサービスで使っていればそちらを変えることです。

この記事は、2026年11月7日時点でJNSAのサイトに掲載されている第一報（PDF）を開き直し、その記載だけをもとに書いています。報道に出ている丸めた数字や、公式に書かれていない推測は入れていません。発表は「漏えいの恐れ」「可能性」という表現なので、この記事でもその言葉のまま書きます。

JNSAの発表で何が起きたのか

「jnsa 情報漏洩」と検索した人の多くは、勤め先で社員向けのセキュリティ教育を担当していて、JNSAの理解度チェックを使ったことがある人か、その受講者として登録された人でしょう。知りたいのは「自分の会社の情報は入っているのか」「パスワードまで漏れたのか」「今すぐ何をすればいいのか」の3つだと思います。最初に、第一報の骨子を整理します。

2026年11月4日、JNSAが運営する情報セキュリティ理解度チェックサービスが、第三者による不正アクセスを受けたことを確認した
この不正アクセスで、利用者の個人情報の漏えいが発生した可能性がある
対象者は最大15,128件と見込まれている
対象件数や影響範囲は、今後変動する可能性がある
不正アクセスは、2026年10月30日夜頃から行われた可能性がある
JNSAは対象サービスを停止し、外部専門事業者の協力のもとで原因究明と影響範囲の特定を進めている

要するに、社員向けの理解度チェックを申し込んだ会社の担当者の情報と、受講者のログインに使うIDとパスワードが、外に出た恐れがあるということです。JNSAは、日本の情報セキュリティの水準を上げる活動をしている団体です。発表の中でも「本来、日本のセキュリティレベルを向上させるべき協会でありながら」と書いてお詫びをしています。

この件で気をつけたいのは、漏れた恐れのある情報の性格です。「セキュリティ教育を担当している人の名前と会社名とメールアドレス」がまとまっているため、その人を狙った偽のメールの材料になりえます。この記事の後半では、管理者と受講者のそれぞれが何をすればよいかを分けて書きます。

情報セキュリティ理解度チェックサービスとは

第一報の末尾には、サービスの説明が参考として載っています。初めて聞く人のために、その内容を言い換えて整理します。

（参考）JNSA セキュリティ理解度チェック管理者とは、社員や職員のセキュリティモラル・リテラシーの向上、および組織全体の客観的な知識レベルを把握する目的で、組織の管理者が事前に受講者（社員・職員）を登録し、サイト上で情報セキュリティに関する問題を受講させて、結果を分析できるサービスです。管理者以外の受講者は、個人名を使わずに「受講者 ID」などで管理できます。出典: 特定非営利活動法人日本ネットワークセキュリティ協会「不正アクセスによる「情報セキュリティ理解度チェックサービス」からの利用者個人情報漏えいの恐れに関するお知らせ（第一報）」

つまり、使い方は次のような流れです。

会社や団体の担当者が「管理者」として登録する。このとき、氏名、企業名、メールアドレス、組織の所在地や従業員数、業種などを入力する
管理者が、受講させる社員や職員を「受講者」として登録する。受講者は個人名ではなく受講者IDで管理できる
受講者は、割り当てられたIDとパスワードでサイトに入り、情報セキュリティの問題に答える
管理者は、組織全体の結果を分析して、教育の効果や弱い分野を確かめる

この流れを頭に入れておくと、漏えいしたと見込まれる情報の中身が理解しやすくなります。管理者については名前や会社のことまで登録されていますが、受講者については、管理者の運用しだいで個人名を登録せずに済む作りになっていました。

公表の経緯と分かっていること

第一報に書かれた日付を、順に並べます。

日付	出来事	出典
2026年10月30日夜頃	不正アクセスが始まった可能性がある時期	JNSAの第一報
2026年11月4日	情報セキュリティ理解度チェックサービスへの第三者の不正アクセスを確認	JNSAの第一報
2026年11月6日	第一報を掲載。同日に個人情報保護委員会へ報告を予定	JNSAの第一報

10月30日夜頃という時期は「可能性がある」とされていて、確定ではありません。侵入が始まってから確認されるまでに、数日の開きがあったかもしれないということです。その間にどのような操作がされたのか、詳しい侵入経路はまだ調査中と書かれています。

今回の発表は「第一報」と題されています。JNSAは、調査の進展で新しい事実が分かったら、協会のWebサイトで速やかに知らせるとしています。件数や項目は今後変わることがあるので、続報が出たら見比べる前提で読んでください。

なお、JNSAのトップページには、これとは別に「ブラストメールによるサービスの停止と情報漏えいについて」というお知らせも載っています。協会が使っているメール配信システム「ブラストメール」で不正アクセスがあったため、JNSAメールマガジンとJNSAインターンシップの登録などの機能を止めている、という内容です。このお知らせには、確認されている個人情報の漏えいに協会のものは含まれていなかったと書かれています。理解度チェックサービスの件とは別の話なので、混同しないようにしてください。

漏えいしたと見込まれる情報と、書かれていないこと

第一報に書かれている内容を、漏えいしたと見込まれる情報と、それ以外に分けて整理します。

区分	第一報に書かれている内容
対象となる人	これまで管理者登録された方および利用ユーザ
漏えいしたと見込まれる情報	管理者氏名、管理者企業名、管理者メールアドレス、組織所在地・従業員数・業種、利用ユーザ数、利用者のID/PW
パスワードの扱い	ハッシュ化されている
件数	対象者は最大15,128件と見込まれる。今後変動する可能性がある
経路	情報セキュリティ理解度チェックサービスへの第三者による不正アクセス

第一報には、クレジットカード情報や口座の情報についての記載はありません。サービスの作りから見て、そうした情報を登録する場面は考えにくいですが、「含まれない」とはっきり書かれているわけでもありません。書かれていないことを推測で埋めず、続報で確かめるのが確実です。

受講者の個人名については、サービスの説明に「個人名を使わずに受講者IDなどで管理できる」とあります。ただし、これは「そういう使い方ができる」という説明です。管理者が受講者IDに社員の名前やメールアドレスをそのまま使っていた場合は、事情が変わります。自分の会社がどう登録していたかは、管理者の人が一番よく知っています。

管理者の情報は、6つの項目のうち5つが管理者や組織に関するものです。氏名、企業名、メールアドレスに加え、所在地、従業員数、業種まで含まれます。「どの業種の、何人規模の会社で、誰がセキュリティ教育を担当しているか」が分かる組み合わせだと言えます。

「最大15,128件」の読み方

件数は「最大15,128件と見込まれる」と書かれています。この数字を読むときは、3つの点に気をつけてください。

1つ目は「最大」と「見込み」という言葉です。15,128件すべてについて漏えいが確かめられたという意味ではなく、対象になりうる上限の見込みです。調査が進めば、減ることも増えることもありえます。第一報も「対象件数や影響範囲については今後変動する可能性があります」と書いています。

2つ目は、件数の数え方が書かれていない点です。管理者と受講者を合わせた数なのか、アカウントの数なのか、人数なのかは、第一報からは分かりません。そのため「1万5千人の個人情報が漏れた」と言い換えるのは正確ではありません。数字は発表のとおり「最大15,128件」として扱ってください。

3つ目は、会社の数ではないという点です。1つの会社から複数の受講者が登録されていれば、その分だけ件数は増えます。15,128件をそのまま「1万5千社」と読むのは誤りです。

社内で周知するときも、この3点をそのまま伝えると誤解が出にくくなります。「JNSAの理解度チェックで、最大15,128件の個人情報が漏えいした恐れがあると11月6日に発表された。件数は見込みで、今後変わる可能性がある」と書けば、発表の言葉から外れません。

パスワードの「ハッシュ化」とは

第一報には、利用者のID/PWが含まれる一方で「パスワードはハッシュ化されています」と書かれています。ハッシュ化とは、パスワードをそのまま保存せず、決まった計算で別の文字列に変えてから保存するしくみのことです。

たとえば「sakura2026」というパスワードをハッシュ化すると、意味の読み取れない長い文字列になります。この文字列から元のパスワードを逆算するのは、簡単ではありません。そのため、ハッシュ化されたパスワードが外に出ても、すぐにそのままログインに使われるわけではありません。

ただし、安心しきってよいわけでもありません。短いパスワードや、辞書に載っている単語、よく使われる並びのパスワードは、総当たりで計算を繰り返すと元の文字列を当てられることがあります。どの方式でハッシュ化していたかは、第一報には書かれていません。

そこで大切なのが、使い回しの有無です。理解度チェックで使っていたパスワードを、会社のメールやクラウドのサービスでも使っていた場合は、そちらのパスワードを先に変えてください。理解度チェックのサービスは停止しているので、まずは同じパスワードを使っているほかのサービスを守ることが優先です。

パスワードだけに頼らずに本人を確かめる方法として、多要素認証があります。パスワードに加えて、スマートフォンのアプリや認証用の機器などもう1つの手段で本人を確かめるしくみです。会社で導入するときの考え方は、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で詳しく解説しています。パスワードが漏れても、それだけではログインされにくくなります。

原因について発表されていること

第一報では、原因は「第三者による不正アクセス」とだけ書かれています。詳しい侵入経路と影響範囲は、引き続き調査中とされています。どのような手口だったのか、サービスのどの部分が狙われたのかは、11月7日時点では分かっていません。

分かっているのは、不正アクセスが10月30日夜頃から行われた可能性があることと、11月4日に確認されたことだけです。外部専門事業者の協力のもとで、原因究明と影響範囲の特定が進められています。

原因が分からないうちは、「どこが悪かったのか」を推測で語らないことが大切です。社内で説明するときも、「原因は調査中と発表されている」と書くのが正確です。続報で経路が明らかになれば、自分の会社のしくみにも同じ穴がないかを見直す材料になります。

JNSAの対応

第一報に書かれているJNSAの対応は、次のとおりです。

被害拡大防止のため、対象サービスを停止した
外部専門事業者の協力のもと、原因究明と影響範囲の特定を進めている
漏えいの可能性が確認された利用者には、対象者の特定が完了しだい、個別に連絡する予定
11月6日に個人情報保護委員会へ報告を予定している
新しい事実が分かった場合は、協会のWebサイトで速やかに知らせる
協会や関係機関になりすましたメールが送られる可能性があるとして、注意を呼びかけている

注目したいのは、個別の連絡が「対象者の特定が完了次第」とされている点です。11月7日時点では、まだ連絡が届いていない人も多いはずです。連絡が来ていないからといって対象外とは限らないので、管理者登録をしたことがある人は、対象になりうる前提で備えておくのが安全です。

第一報には、補償やお詫びの品についての記載はありません。この点を推測で判断せず、続報で確かめてください。

自分が対象かを確かめる方法

自分の情報が最大15,128件に含まれているかを、自分で調べる方法は第一報には書かれていません。確かめる手がかりは次のとおりです。

これまでにJNSAの情報セキュリティ理解度チェックで管理者登録をしたことがあるかを思い出す。登録時の確認メールが受信箱に残っていないかを探す
自分が受講者として登録されたことがあるかを、社内の教育担当に聞く
当てはまる場合は、情報が含まれている可能性があると考えて、この記事の後半の備えを進める
JNSAから個別の連絡が届いたら、内容を確かめる。届いた連絡が本物かどうかは、JNSAのサイトに載っている第一報と照らし合わせる

受講者として登録された人は、自分では登録した覚えがないこともあります。管理者が受講者を事前に登録するしくみだからです。社内でJNSAの理解度チェックを受けた覚えがある人は、教育担当に「自分のIDはどのように登録されていたか」を聞いておくと、対応の優先度を決めやすくなります。

管理者として登録していた人がすること

漏えいしたと見込まれる情報の多くは、管理者に関するものです。管理者として登録していた人は、次の順番で備えてください。

すぐにすること

JNSAや関係機関を名乗るメールのURLや添付ファイルを開かない
メールでIDやパスワードの入力や変更を求められても応じない。第一報には、協会がメール本文中でURLリンクを示してIDやパスワードの入力や変更を求めることはないと書かれている
理解度チェックの管理者アカウントで使っていたパスワードを、ほかのサービスでも使っていないかを確かめる。使っていれば、そちらを変える

社内で伝えること

受講者として登録した社員に、JNSAの件で情報が漏えいした恐れがあることを伝える
受講者IDに社員の名前やメールアドレスを使っていた場合は、そのことも伝え、偽のメールに注意するよう呼びかける
受講者が理解度チェックのパスワードを別のサービスでも使っていれば、そちらを変えるよう伝える

念のためにすること

自分あての「セキュリティ製品の案内」「教育サービスの更新」「アカウントの確認」といった名目のメールを、いつもより慎重に扱う
会社の代表番号や総務あてに、JNSAを名乗る電話が来た場合の対応を、関係する部署と決めておく

管理者の情報には、氏名、企業名、メールアドレスに加えて、所在地、従業員数、業種まで含まれます。偽のメールを送る側から見ると、「この会社のセキュリティ担当者」と分かったうえで文面を作れる材料です。担当者本人だけでなく、上司や同じ部署の人にも状況を共有しておくと、だまされにくくなります。

受講者として登録されていた人がすること

受講者として登録されていた人の情報で、第一報に書かれているのは「利用者のID/PW（パスワードはハッシュ化されています）」です。受講者IDの付け方は会社ごとに違うので、まず自分のIDがどのような形だったかを確かめます。

受講者がすることは、次の3つです。

理解度チェックで使っていたパスワードを、ほかのサービスで使っていないかを確かめる。使っていれば、そちらを変える
受講者IDが自分の名前やメールアドレスと結びつく形だった場合は、JNSAを名乗るメールに特に気をつける
会社の教育担当から連絡があれば、その指示に従う。疑問があれば、教育担当に聞く

理解度チェックのサービスは停止しているので、そのサービスのパスワードを変える必要は今のところありません。大事なのは、同じパスワードを使っているほかのサービスを守ることです。パスワードの使い回しは、1つのサービスで漏れたときに被害が広がる一番の原因になります。

JNSAを名乗る偽メールの型

第一報は、メールアドレス等の情報が漏えいした場合、協会や関係機関になりすましたメールが送られる可能性があると注意を呼びかけています。管理者や受講者に届きうる偽のメールの型を、確かめ方と一緒に整理します。

偽メールの型	ありそうな文面の例	確かめ方
パスワードの再設定	「不正アクセスを受けたため、パスワードを再設定してください」	協会はメールでURLを示してIDやパスワードの入力や変更を求めないと第一報に書かれている
対象かどうかの確認	「漏えいの対象かを確認するため、こちらからログインしてください」	第一報に無い手続きを求めるものは疑う
サービス再開の案内	「サービスを再開しました。こちらから新しいIDを登録してください」	JNSAのサイトを自分で開き、同じ案内が出ているかを見る
セミナーや製品の案内	「セキュリティ担当者向けの特別セミナーのご案内」	申し込みはメールのリンクではなく、主催者のサイトを自分で開いて行う
関係機関を名乗るもの	「個人情報保護に関する調査へのご協力のお願い」	送り主の公式サイトに載っている窓口で確かめる

特に注意したいのは、今回の件そのものを話題にした偽のメールです。「漏えいの確認」「パスワードの再設定」という名目は、実際にありそうに見えます。しかし第一報には、協会がメール本文中でURLリンクを示してIDやパスワードの入力や変更を求めることはないと明記されています。この一文を基準にすれば、多くの偽メールは見分けられます。

不審なメールを受け取った場合は、本文中のリンクや添付ファイルを開かず、送信元を十分に確かめるよう、第一報は求めています。送信元の表示名やアドレスは偽物でもそれらしく作れるので、表示だけで判断しないでください。

管理者の情報が外に出たときに起こりうること

「名前と会社名とメールアドレスなら、名刺に書いてある程度の情報だ」と考える人もいるかもしれません。確かに、口座番号やカード番号が漏れた場合と比べれば、直接お金を失う危険は小さいと言えます。ただ、今回の情報には「その会社でセキュリティ教育を担当している人」という性格が加わっています。ここが、名刺の情報とは違うところです。

起こりうることとして、次のようなものが考えられます。

セキュリティ担当者を名指しした偽のメールが届く。担当者の名前と会社名が正しく書かれているので、文面が本物らしく見える
所在地や従業員数、業種をもとに、その会社に合わせた偽の請求や営業の連絡が届く
担当者のメールアドレスと、ほかの件で漏れたパスワードを組み合わせて、会社のクラウドのサービスへのログインを試される
担当者になりすまして社内の人に連絡し、「理解度チェックの再受講のため」などの名目でIDやパスワードを聞き出そうとする

4つ目は、受講者の側が気をつけたい型です。社内の教育担当の名前で「再受講のためにパスワードを教えてほしい」という連絡が来ても、まず教育担当本人に、知っている連絡手段で確かめてください。教育担当がパスワードを聞くことは、ふつうありません。

逆に、今回の漏えいだけで会社のシステムが乗っ取られることは、発表の内容からは考えにくい状況です。慌ててすべてのアカウントを作り直す必要はありません。使い回しの確認と、偽のメールへの備えを落ち着いて進めることが大切です。

受講者IDの付け方を見直す

今回の件は、外部のサービスに社員の情報をどこまで登録するかを考え直す機会にもなります。サービスの説明にあるとおり、理解度チェックは受講者を個人名ではなく受講者IDで管理できる作りでした。受講者IDに社員の名前やメールアドレスを使わず、社内だけで対応表を持つ形にしておけば、外のサービスで何か起きても、外に出る情報を小さく抑えられます。

次にサービスを使うときや、別の教育サービスに切り替えるときは、次の点を確かめておくと安心です。

受講者IDは、名前やメールアドレスと結びつかない番号にする
受講者IDと社員の対応表は、社内の決まった場所だけで管理する
受講者のパスワードは、ほかのサービスと同じものにしないよう案内する
退職した社員や、もう使わない受講者IDを、定期的に削除する
管理者のアカウントには、使えるなら多要素認証を設定する

どれも手間はかかりますが、今回のように委託先のサービスで不正アクセスが起きたとき、影響の範囲を小さくできます。

社内のセキュリティ教育を止めないために

理解度チェックのサービスは、11月7日時点で停止しています。再開の時期は第一報に書かれていません。年度の途中で社員の理解度を測る予定を立てていた会社は、予定の見直しが必要になるかもしれません。

この機会に考えたいのは、教育を止めないための代わりの手立てです。たとえば、次のような方法があります。

社内で起きた、または他社で公表された事案を題材に、短い勉強会を開く
偽のメールを使った訓練で、実際に開いてしまう人がどれくらいいるかを確かめる
パスワードの使い回しをやめる、多要素認証を設定する、といった具体的な行動を、一覧にして配る

偽のメールを使った訓練は、知識を問う試験とは別の角度から社員の行動を確かめられる方法です。訓練の進め方と効果は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで解説しています。

今回の件は、教育用のサービスそのものが狙われたという点で、教育担当の人にとって身近な教材にもなります。「JNSAのような団体のサービスでも不正アクセスは起きる。だからこそ、パスワードの使い回しをやめ、メールのリンクから手続きをしない」という流れで伝えると、社員にも届きやすくなります。

中小企業でセキュリティ対策の予算をどう確保するかは、悩みどころです。補助金を使って守りを固める方法は、中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法で整理しています。

社内向けのお知らせ文を書くときのコツ

管理者として登録していた人は、社内にお知らせを出す立場になることが多いはずです。そのときに誤解を生まない書き方を、要点だけ整理します。

発表の日付と発表者を書く。「2026年11月6日、特定非営利活動法人日本ネットワークセキュリティ協会が第一報を発表」
件数は発表のとおりに書く。「対象者は最大15,128件と見込まれる。今後変動する可能性がある」
「漏えいした」ではなく「漏えいの恐れ」「可能性」と書く。発表がその表現だからです
社員にしてほしいことを、行動の形で書く。「JNSAを名乗るメールのリンクを開かない」「理解度チェックと同じパスワードを使っているサービスがあれば変える」
問い合わせ先を書く。社内の担当者と、JNSAの窓口（[email protected]）

社内向けの文章は、短く、言い切れることと言い切れないことを分けて書くのが基本です。「漏えいした」と「漏えいの恐れがある」を書き分けるだけで、読む人の受け止め方は大きく変わります。こうした文書の書き方の力を確かめる資格の1つとして、ビジネス文書検定があります。

問い合わせ窓口

第一報に載っている問い合わせ先は、次のとおりです。

項目	内容
発表者	特定非営利活動法人日本ネットワークセキュリティ協会
お問合せ先	[email protected]
電話の窓口	第一報に記載なし

第一報に電話番号は載っていません。問い合わせはメールで行うことになります。メールを送るときは、届いたメールに返信するのではなく、自分で宛先に [email protected] を入力して送ってください。偽のメールに返信すると、相手に「このアドレスは使われている」と知らせることになります。

問い合わせのメールには、管理者として登録していた組織の名前と、登録に使ったメールアドレスを書いておくと、やりとりが早く進みます。パスワードは、問い合わせのメールにも書かないでください。

今後の続報で確かめたい点

11月7日時点の第一報では、まだ分かっていないことがいくつかあります。続報が出たときは、次の点を確かめるとよいでしょう。

対象件数が最大15,128件から変わったか
漏えいが確かめられた情報の範囲に変化がないか
詳しい侵入経路と、不正アクセスが始まった時期が分かったか
対象者への個別の連絡が始まったか
サービスの再開時期と、再開するときにパスワードの再設定が必要になるか

続報を追うときは、報道の見出しではなく、JNSAのサイトに載る発表そのものを見るようにしてください。報道では件数が丸められたり、「恐れ」が「流出」に言い換えられたりすることがあります。社内で周知し直すときも、発表の日付と件数、発表の言葉のまま伝えるのが確実です。

サービスが再開するときには、新しいパスワードの登録を求められる可能性があります。その案内がメールで届いた場合も、メールのリンクからではなく、JNSAのサイトを自分で開いて手続きをするのが安全です。再開の時期を狙って、本物そっくりの再登録のメールが送られることも考えられます。

確かめた日付と、そのときの件数や項目を社内のメモに残しておくと、続報が出たときに何が変わったかをすぐに見比べられます。11月7日時点の記載は、対象者が最大15,128件の見込みで、項目は管理者に関する5つと利用者のID/PWです。

在宅で仕事をする人が気をつけること

在宅で仕事をする人の中には、取引先から社員教育やセキュリティの研修を任され、JNSAの理解度チェックのような外部のサービスを使って受講者を登録していた人もいるでしょう。その場合、登録した受講者の情報は、取引先から預かった情報です。漏えいの恐れが分かったら、取引先にすぐ知らせる必要があります。

個人情報の保護に関する法律は、個人情報データベース等を事業に使っている人を「個人情報取扱事業者」と呼び、預かった個人データの安全管理のために必要で適切な措置をとるよう求めています（第23条）。個人データの扱いを外部に任せるときは、任せた先の監督も求められます（第25条）。フリーランスや個人事業主でも、事業で顧客や取引先の個人データを扱っていれば、これに当たる場合があります。

さらに、個人の権利利益を害するおそれが大きい漏えい等が起きたときは、個人情報保護委員会への報告と本人への通知が求められます（第26条）。ただし、委託を受けて個人データを扱っていた人が、委託元に事態を通知したときは、報告の義務がかからない決まりになっています。条文はe-Govの個人情報の保護に関する法律で確かめられます。自分の仕事がどれに当たるかは、扱う情報の種類や量、契約の中身で変わるので、気になる人は個人情報保護委員会の相談ダイヤル（03-6457-9849）で確かめると確実です。

実務としては、取引先の仕事で外部のサービスを使うときに、どのサービスに、誰の、どの項目を登録したかを記録しておくことが大切です。今回のように委託先のサービスで不正アクセスが起きたときに、取引先に「どの情報が影響を受けうるか」をすぐに答えられます。

アカウントを守る力を仕事に生かす

今回の件は、セキュリティ教育のためのサービスが不正アクセスを受けたという点で、どの組織にも起こりうることを示しています。自分で防げる範囲は限られていますが、パスワードを使い回さない、多要素認証を設定する、メールのリンクから手続きをしない、という基本を押さえておけば、被害の多くは避けられます。

2004年から在宅ワークとフリーランスの仲介を続けてきた中で見えてきた傾向として、取引先から長く任される人ほど、預かった情報の記録と、何か起きたときの連絡の手順を最初に決めています。セキュリティの知識は、それ自体を仕事にすることもできます。@SOHOのAI・マーケティング・セキュリティのお仕事では、在宅で受けられるセキュリティ関連の仕事の種類と探し方を紹介しています。

よくある質問

Q. JNSAの件で、パスワードも漏れたのですか？

2026年11月6日の第一報では、漏えいしたと見込まれる情報に「利用者のID/PW」が含まれていますが、パスワードはハッシュ化されていると書かれています。ハッシュ化されていても、短いパスワードは当てられることがあるため、理解度チェックと同じパスワードをほかのサービスで使っていれば、そちらを変えておくと安心です。