発覚は外部からの通報だった #
科学技術振興機構（JST）は8月7日、役職員12人のメールボックスから約1万6000件のメール情報が外部に流出した可能性があると発表した。含まれるのは外部の取引先や研究者とみられるメールアドレス約1300件、JST役職員のアドレス約1000件。JST自身が異常を検知したのではなく、7月28日に外部機関からの情報提供で発覚した点が重い。侵入からおよそ10日間、外部の目がなければ気づけなかった可能性がある。
JSTはすでに不正アクセス経路を遮断し、該当アカウントの権限を無効化した。外部の専門機関、警察、個人情報保護委員会と連携して調査を進めており、現時点で情報の不正利用や外部公開は確認されていないという。ただし侵入経路や手口の詳細はまだ明らかにされておらず、フィッシングによる認証情報の窃取だったのか、システムの脆弱性を突かれたのかも公表資料からは判断できない。
JSTは大学・企業との共同研究や助成金審査を仲介する立場にあり、メールボックスには研究者の連絡先や未公開の研究計画、契約情報が集まりやすい。窃取したアドレス帳は取引先へのなりすまし詐欺（BEC）や標的型フィッシングの踏み台に転用されやすく、単発の漏えいでは終わらない波及リスクを抱える。
検知の空白をどう埋めるか #
JST事案の焦点は未パッチ脆弱性ではなく「検知の遅れ」だ。侵入から発覚まで外部通報を待つ形になった今回のケースは、ログ監視やメールボックスの異常アクセス検知を自前で回せているかという、地味だが基本的な防御態勢の課題を突きつけている。研究機関に限らず、取引先の連絡先を大量に抱える組織であれば同じ構図はどこでも起こり得る。窃取されたアドレス帳が本当に悪用されるのは数週間後、別の組織へのなりすましメールという形であることも多い。今回流出した約2300件のアドレス保有者は、JST関連を装う不審メールへの警戒を当面続ける必要があるだろう。
COMMENTS 0
No comments yet — be the first to leave one.