JAXAに入り込んだサイバー攻撃、結局どうなった？

END

FILE 051 ／ CASE 2023-10 ／あれから3年／ジャンル：社会

END2026.03

NEWS END｜結末

2023年、JAXAの業務用ネットワークにVPN機器の弱点から侵入され、外部機関との共同業務の情報や個人情報の一部が漏れた。JAXAは事件を受けて決めた恒久対策の導入を2025年度末までに終えたと、2026年6月に報告した。

決着：2025年度末（2026年3月末。恒久対策の導入完了を2026年6月の事業報告書で報告）／最終確認日：2026-10-29 ／出典：3件

4コマでわかる

2023年10月、外部機関からの通報で、業務用ネットワークの一部のサーバーへの不正アクセスに気づいた

VPN機器の弱点から入られ、盗まれたアカウントで Microsoft 365 にも入られていた

2024年7月、一部の情報（共同業務の情報や個人情報）が漏れたと公表。ロケットや衛星の運用情報は扱っていないシステムだった

2026年6月、「恒久対策の導入を2025年度末までに完了した」と報告

2023年10月外部機関からの通報で、業務用イントラネットの一部のサーバーへの不正アクセスに気づき、通信の遮断などの初期対応をした［1］
2024年1月以降監視を強めるなかで、さらに複数回の不正アクセスを確認（ゼロデイ攻撃を含む）。こちらは情報漏えいなどの被害はなかった［1］
2024年7月5日調査結果を公表。一部の情報が漏れたことを確認し、関係者には個別に説明・謝罪した。短期の対策は実施済みで、恒久対策を具体化中とした［1］
2025年6月令和6年度の事業報告書で、ゼロトラストの考え方でネットワーク全体を作り直している途中であり、ネットワークと端末の監視を強める仕組みは整備を終えたと報告［2］
2026年6月令和7年度の事業報告書で、原因をルール・ガバナンス面とシステム面の両方で明らかにし、それに基づく恒久対策の導入を2025年度末までに完了したと報告［3］

入口はVPN装置の弱点。先に公表されていた弱点が悪用された可能性が高い［1］一次資料
侵入したサーバーからアカウント情報などを盗み、それを使って正規の利用者を装い Microsoft 365 に不正アクセスした［1］一次資料
侵害の過程では、未知のマルウェアが複数使われ、気づきにくくしていた［1］一次資料
漏れたのは、侵害された端末・サーバーにあった一部の情報（職員などの個人情報を含む可能性）と、Microsoft 365 上の一部の情報（外部機関と共同で業務を行うための情報と個人情報）［1］一次資料
侵害されたシステムやネットワークでは、ロケットや衛星の運用などの機微な情報は扱っていない［1］一次資料
Microsoft の専門チームの調査で、さらなる侵害は起きていないことを確認した［1］一次資料
恒久対策の導入は2025年度末までに完了。あわせて、外部への大量データ送信などの監視も始めた［3］一次資料

恒久対策の導入は2025年度末（2026年3月末）までに完了。今後は対策を着実に運用し、さらなる対策を講じていくとしている［3］。

※アイキャッチ画像はAIで作成したイメージです。実際の現場や人物ではありません。

JAXA「JAXAにおいて発生した不正アクセスによる情報漏洩について」2024年7月5日（https://www.jaxa.jp/press/2024/07/20240705-2_j.html）
JAXA「令和6事業年度事業報告書」（令和6年4月1日〜令和7年3月31日）本文5ページ「⑥ 情報セキュリティ」（https://www.jaxa.jp/about/finance/pdf/finance_r06-04.pdf）
JAXA「令和7事業年度事業報告書」（令和7年4月1日〜令和8年3月31日、2026年6月）本文22〜23ページ「② ICT・セキュリティリスクへの対応」（https://www.jaxa.jp/about/finance/pdf/finance_r07-04.pdf）