- 重要度
- 重要度：5段階中4 1,792名分
- 公表日
- 2026.11.02
- 原因の分類
- 製品・サーバーの脆弱性
- 対策可能性
- 判定保留
この記事の3行まとめ
- 経費精算システムに外部の第三者が不正アクセスし、1,792名の個人情報が取得された。
- ログインを経ずに登録情報を取得できる機能の脆弱性が原因だった。
- 対象の方には個別に連絡があり、未通知なら窓口へ問い合わせる。
同機構が使う経費管理システムに外部の第三者が不正アクセスし、登録されていた1,792名の個人情報等と594件の取引先名称が取得された。原因は、ログインを経なくても登録情報を取得できる機能の脆弱性だった。
確認された経路・公表元の推定
- 本システムの一部機能に、ログインを経なくても登録情報を取得できる脆弱性があった。
- 2026年10月25日（日）、外部の第三者がその脆弱性を利用して登録情報を取得した。
- 2026年10月26日、本システムが停止された。
- 2026年10月29日より、対象の方へ順次個別に連絡を始めた。
- 2026年11月2日、本件が公表された。
根拠の要点
公表元は、本システムの一部機能に脆弱性があり、外部の第三者がそれを利用して登録情報を取得したと説明している。第三者による不正ログインの記録や、登録情報の改ざん・削除の記録は無いとしている。
資料の基準時点：資料に基準日の明記はない。公表日2026年11月2日の記載。
当時、対策できたのか
判定保留
公表元は、脆弱性の修正と再発防止策を実施した、または予定していると説明している。しかし、脆弱性の内容、修正の時期、攻撃時点の防御条件は資料に書かれていない。対策の欠落を示す記載も無いため判定を保留した。
公表された対策
- 2026年10月26日に本システムを停止した
- 脆弱性のあった機能を修正し、同種の脆弱性がないか本システム全体を点検する（修正は本システムの再開時に反映）
- 第三者機関による本システムの安全性の診断と、指摘事項の是正を行う
- 再開にあたり、委託先と連携して個人情報の取り扱いとシステムの安全管理を点検する
- 対象の方へ個別に連絡し、電話やメールで暗証番号などを尋ねないことや、正規の連絡手段以外からの連絡に注意するよう呼びかける
まだ分からないこと
- 脆弱性の具体的な内容（対象の機能、発見・修正の経緯、CVEの有無）
- 脆弱性が製品由来か、自社または委託先の実装由来か
- 取得された情報の悪用（二次被害）の有無
- 修正を反映した本システムの再開時期と、攻撃者の詳細