簿記や日商PCをネット試験で受けた人の情報が、最大約98万人分漏えいした可能性があります。今回狙われたのは、受験者がログインするサイトではなく、試験会場が予約や結果の管理に使うシステムでした。パスワードを変えて済む話ではないとき、受験者は何に気をつければよいのでしょうか。
日本商工会議所は2026年11月10日、商工会議所ネット試験の管理システムへの不正アクセスにより、受験者情報が最大約98万人分（約197万件）漏えいした可能性があると発表した。11月1日に外部サーバー上の同システムへ不正ファイルが設置され、11月4日にシステム管理会社からの報告で確認した。ファイルは即時削除し、同日深夜にパッチを適用した。
対象は2022年4月1日から2026年11月4日に、簿記、リテールマーケティング（販売士）、日商PCなど8試験をネット試験で受けた人。項目は氏名、フリガナ、性別、生年月日、合否結果、試験得点と、任意入力のメールアドレス、電話番号、住所で、決済情報は含まれない。11月9日に個人情報保護委員会へ報告した。漏えいの事実や不正利用は確認されていない。
From: 
商工会議所ネット試験管理システムへの不正アクセスによる受験者情報（個人情報）漏えいの可能性について（日本商工会議所）
【編集部解説】
日本商工会議所（日商）が、ネット試験の受験者情報が最大約98万人分漏えいした可能性を公表しました。対象は、簿記や日商PCなどを全国の試験会場でパソコンを使って受けた人です。
今回狙われたのは、受験者がログインするサイトではありません。日商によると、対象のシステムは、ネット試験を実施する施行機関が試験の予約や受験結果の管理に使うもので、一般の受験者はアクセスしません。会員サイトの漏えいなら、まずパスワードを変えるという手がありますが、今回の公表でそうした対応は求められていません。受験者に向けて呼びかけられているのは、これから届くかもしれない不審な連絡への注意です。
項目に「合否結果」と「試験得点」が含まれている点が、今回の特徴です。カード番号なら止めて作り直せますが、生年月日や試験の結果は変えられません。氏名と生年月日に合否や得点が添えられると、受験者の事情に通じた正規の関係者のように振る舞えるおそれがあります。たとえば、合格証の手続きや得点の確認、次の受験の案内を装った連絡が考えられます。
日商は、同所や関係先を装ったメール、SMS、電話、郵便物に注意するよう呼びかけています。覚えておきたいのは次の4点です。
・日商は、メール、SMS、電話でパスワードやクレジットカード情報を尋ねることはないとしています。
・身に覚えのない連絡にあるリンクや添付ファイルは開かず、不審な電話や郵便物には応じないこと。
・届いた連絡に書かれた電話番号やリンクは使わず、ブックマークなどから日商や検定試験の公式サイトを開いて確かめること。本件の問い合わせ先は、日本商工会議所 事業部（03-6402-6154、平日9:30〜20:00）です。
・メールアドレス、電話番号、住所は任意の入力項目です。入力した覚えのある人は、その経路で連絡が届くことを想定しておくと安心です。
数字は「最大約98万人分、約197万件」で、件数は人数のおよそ2倍です。対象期間は約4年7か月に及びますが、件数と人数の関係について公表文に説明はありません。どちらも現時点で見込まれる最大の数字です。日商は、11月10日の公表時点で、漏えいの事実や不正利用は確認されていないとしています。
不正なファイルの設置から3日後に不正アクセスが確認され、さらに5日後に、最大約98万人分という規模が判明しました。日付で追うと、11月1日に外部サーバー上の試験管理システムへ不正なファイルが置かれ、4日にシステム管理会社からの報告で不正アクセスが確認されました。ファイルはすぐに削除され、同日深夜にはパッチが適用されています。9日に漏えいの可能性がある範囲がわかり、同日に個人情報保護委員会へ報告、翌10日に公表しました。どの脆弱性が使われたのか、置かれたファイルが何をするものだったのかは、まだ明らかにされていません。脆弱性への対策は済んでおり、ネット試験はこれまでどおり受けられます。
内閣官房の国家サイバー統括室は11月5日、相次ぐ情報漏えいを受けて、ウェブサイトなどを運営する事業者に基本的な対策の徹底を求めました。攻撃者が国内の公開サイトを大規模に調べて侵入しているとみられ、標的の調査や侵害にAIを使っている可能性も高いと指摘しています。攻撃の大規模化が容易になり、事業の規模を問わず幅広い事業者が狙われているとの見方も示しています。一方、日商の公表文はAIに触れていません。今回の件と結びつけるのではなく、時代の背景として受け止めるのが適切です。
受験の機会を広げてきたネット試験は、全国の試験会場と日本商工会議所のネット試験センターをインターネットで結び、リアルタイムで実施されています。予約や結果を管理するシステムには、多くの受験者の記録が積み重なっていきます。侵入経路と確定した範囲の続報は、日商だけでなく、オンラインで試験を運営する団体にとって、自分たちの仕組みを見直す手がかりになるはずです。
【関連記事】
情報が漏れたかもしれないときの手引き｜漏れた情報別にできること
自分の情報が漏れたかもしれないとき、まず何から確かめ、どこに相談すればよいかを、漏れた情報の種類ごとにまとめた手引きの記事。
ニトリに不正アクセス、最大3,762万件の個人情報が流出の可能性 パスワードとカードは対象外
11月9日に公表されたニトリの事案。最大3,762万件という件数の読み方と、これから届くかもしれない連絡の見分け方を書いた。
政府、サイバー攻撃の緊急対策パッケージを決定 IPAにAI活用のトップガン人材チーム
相次ぐ不正アクセスを受けて政府が決めた緊急対策パッケージの中身。IPAにAIを活用するトップガン人材のチームを置く構想も含む。
【編集部後記】
ネット試験は、受け終えたその場で結果がわかる仕組みです。それでも、次の級への申し込みや勉強の続きなど、検定とのつきあいは試験の日で終わりません。だからこそ、検定の名前が入った連絡は、つい開いてしまいがちです。
私は、試験に関する連絡が届いたら、本文のリンクではなく、自分で開いた公式サイトから確かめるつもりです。皆さんは、資格の申し込みや結果の確認を、ふだんどの入り口から行っていますか。
【用語解説】
商工会議所ネット試験
商工会議所の検定試験を、試験会場のパソコンで受ける方式。全国の試験会場と日本商工会議所のネット試験センターをインターネットで結び、リアルタイムで実施する。今回の対象は、簿記や日商PCなど8試験をこの方式で受けた人である。
施行機関
商工会議所ネット試験を実施する試験会場。教育機関や企業などが地元の商工会議所に入会して申請し、試験会場として適格と認められると「商工会議所ネット試験施行機関」に認定される。今回の対象システムは、施行機関が試験の予約や受験結果の管理に使うものだった。
パッチ
ソフトウェアの不具合や脆弱性（セキュリティ上の弱点）を修正するための更新プログラム。今回は、不正アクセスが確認された11月4日の深夜に、脆弱性対策としてパッチが適用された。
【参考リンク】
日本商工会議所（外部）
全国の商工会議所をまとめる組織。簿記などの検定を主催し、11月10日に今回の不正アクセスと受験者情報の漏えいの可能性を公表した。
商工会議所の検定試験（外部）
簿記や日商PCなど、商工会議所の検定試験の公式サイト。ネット試験の受け方や施行機関の一覧のほか、本件のお知らせも掲載している。
内閣官房 国家サイバー統括室「個人情報の漏えい等につながる不正アクセスへの対策について」（外部）
国家サイバー統括室が11月5日に事業者向けに出した資料。攻撃者が標的の調査や侵害にAIを使っている可能性も高いと指摘し、対策を求めた。
個人情報保護委員会「漏えい等の対応とお役立ち資料」（外部）
個人情報の漏えい等が起きたときに、事業者が行う委員会への報告と本人への通知の仕組みを、関連する資料とあわせて案内するページ。
【参考記事】
簿記受験者98万人分に漏えいの恐れ、日商ネット試験の外部システムに不正アクセス（外部）
ビジネス＋IT。対象期間と8試験、漏えいの可能性がある項目、11月1日の不正ファイル設置から9日の判明までの経緯をまとめた記事。
日商 受験者最大約98万人分の情報漏えいか 不正アクセスの影響（外部）
NHKニュース。日本商工会議所が、委託先のサーバーへの不正アクセスで、受験者最大約98万人分の情報が漏えいした可能性を発表したと報じた。
日商簿記、受験者９８万人の情報流出か（外部）
新潟日報に掲載された速報。簿記などのインターネット試験で使う外部サーバーが不正アクセスを受け、氏名や合否判定が流出した可能性を伝えた。
