独立行政法人エネルギー・金属鉱物資源機構（JOGMEC・東京都港区）、情報システムに不正アクセス — 役職員と機構外部を合わせて合計約8,500件のメールアドレスが流出した可能性

2026/10/07 23:37 情報収集中中程度公共・非営利 #不正アクセス

項目	内容
発生・公表日	判明: 2026年9月9日（外部機関からの情報提供） / 公表: 2026年10月2日
対象組織	独立行政法人エネルギー・金属鉱物資源機構（JOGMEC、東京都港区／資源・エネルギー分野を所管する経済産業省所管の独立行政法人）
流出のおそれ件数	メールアドレス合計約8,500件（役職員約1,100件／機構外部約7,400件）
対象情報	メールアドレスのみ
対応	アクセス制限・通信制御を実施、個人情報保護委員会を含む関係機関に報告済み。再発防止策（アクセス制限・認証機能・監視機能の強化等）を策定予定
情報源	JOGMEC 公式（2026年10月2日）、サイバーセキュリティ.com（2026年10月7日）

概要

資源エネルギー分野を所管する 独立行政法人エネルギー・金属鉱物資源機構（JOGMEC） は2026年10月2日、同機構の情報システムに対する外部からの不正アクセスにより、約8,500件のメールアドレスが流出した可能性があると公表しました。

内訳は JOGMEC役職員のメールアドレス約1,100件 と JOGMEC以外のメールアドレス約7,400件。公表された項目はメールアドレスのみで、氏名・所属などの属性情報が併記されていたかは明らかにされていません。

本件は 2026年9月9日に外部機関からの情報提供を受けて外部専門事業者と連携して調査した結果判明したもので、JOGMECが自組織の内部監視で検知したものではありません。公表時点でJOGMECはアクセス制限や通信制御の措置を実施済みで、個人情報保護委員会を含む関係機関に報告済みとしています。侵入経路、対象システム名、不正アクセスが継続した期間については公表されていません。

経緯

2026年9月9日: 外部機関からJOGMECに情報提供があり、外部専門事業者と連携して調査を行った結果、不正アクセスを確認
公表以前: 対象の情報システムに対するアクセス制限や通信制御などの措置を実施。個人情報保護委員会を含む関係機関への報告を完了
2026年10月2日: JOGMEC が公式サイトで公表、対象者への個別連絡を順次実施すると説明
2026年10月7日: サイバーセキュリティ.com などが報道

対策

1. 外部機関からの情報提供を「正式な検知チャネル」として組み込む

本件は 外部機関からの情報提供を起点に判明 しました。これは単発の事象ではなく、公的機関・大企業の情報漏えいでは警察・JPCERT/CC・取引先・海外のセキュリティ研究者からの通報を契機に発覚するケースが継続的に報告されています。問題は、こうした通報が担当者個人のメールや代表問い合わせフォームに届いた場合、セキュリティ運用の正式なトリアージキューに乗らず、気づかれないまま埋もれることです。平常時から「外部から持ち込まれた不審情報」専用の受付経路（セキュリティ代表メール、連絡窓口担当チーム、エスカレーション先）を定義し、受領から対応開始までの時間を目に見える指標として管理する運用を敷いておくと、通報の価値をそのまま検知時間の短縮につなげられます。

2. 情報システムから「どのメールアドレスが引き抜ける状態にあるか」を棚卸しする

本件で流出可能性があるのは役職員約1,100件に加えて機構外部約7,400件、つまり外部との連絡先が機構内部の7倍の規模で保有されていました。公的機関・独法のシステムは、取引事業者・学識有識者・海外機関・報道関係などとの連絡用アドレスを長年蓄積しており、ひとつのシステム侵害でこの連絡網全体が露出し得ます。アドレスのみの流出でも、正規メールを装った取引先向けフィッシングやビジネスメール詐欺（BEC）の宛先リストとして悪用される二次攻撃の素材になります。情報システムごとに「何のアドレスを、どれだけ保持しているか」を定期棚卸しし、不要なアドレス帳・配信リスト・古いワーキンググループメンバーリストを削除するだけでも、同じ侵害で露出する件数を減らせます。

3. 「アドレスのみ」でも対象者への通知と注意喚起を速く回す

本件の流出項目はメールアドレスのみで、氏名や連絡先などの属性情報とは明示的に紐づけられていません。この種の事案は被害が目に見えづらく、対象者への個別通知が後回しになったり、通知文面が抽象的になりやすいという問題を抱えます。しかしアドレスの悪用はフィッシング攻撃の到達率を直接押し上げるため、通知の遅れがそのまま二次被害リスクに変換されます。流出項目が最小の事案こそ、通知の到達と注意喚起文の具体性（「JOGMEC名義のメールが届いても添付・リンクを開かず、連絡用の電話窓口で真偽を確認する」など）が勝負になります。

ヤグラの視点 — 自組織の内部監視では拾えなかったという事実を、設計の起点にする

JOGMECが「2026年9月9日に不正アクセスが判明した」と公表できたのは、外部機関からの情報提供があったからです。裏を返せば、この情報提供がなければ、流出のおそれはより長期間にわたって気づかれないまま残り続けた可能性があります。対象システム名も侵入経路も公表されていないため具体的な時間差は不明ですが、「外部から知らされて初めて動けた」という構造そのものが、公的機関・独法の情報セキュリティ運用に共通する課題を示しています。

公的機関の情報システムは、業務の性質上、外部との連絡網を長年蓄積し、業務時間外にアクセスする職員が少ない静かなシステムです。この静かさは、平常時のアクセスパターンが安定しているため、本来は振る舞いベースの検知が効きやすい領域であることを意味します。認証ログ・ネットワーク通信ログ・アプリケーションレベルのクエリログを横断で見て、「同じアカウントが普段と比べてどれだけ多くのレコードを、どの時間帯に、どの端末から取得したか」を平常から把握できる体制があれば、外部通報より先に自組織で気づける可能性があります。再発防止策として同機構が挙げた「アクセス制限、認証機能及び監視機能の強化等」のうち、監視機能の強化は、ルールベースのアラートだけでなくこの振る舞い検知の層まで含めて設計することで、次に「外部から知らされる前に止める」運用に近づきます。

人手で24時間365日全ログを見切るのは独法規模でも現実的ではありません。認証ログ・端末ログ・ネットワークログをAIが横断で相関し、検知から初動までを数分の単位に縮める運用が、「情報提供を受けてから動く」から「自組織で先に止める」に転換するための現実解になります。（→ ヤグラ AI SOC）

今後の対応

対象システム名と侵入経路の詳細（続報で判明する可能性）
不正アクセスが継続していた期間と、流出可能性の範囲の確定
流出した外部アドレス約7,400件の属性範囲（取引事業者・有識者・報道関係など）
対象者への個別通知の進捗
JOGMECを名乗る不審メールの発生有無（二次被害）
「アクセス制限、認証機能、監視機能の強化」の具体的な内容

判明次第、本記事に追記します。

更新履歴

日時	内容
2026-10-07	第一報を公開