国立研究開発法人量子科学技術研究開発機構（以下「QST」という）のリモートアクセス機器（以下「当該機器」という）に対するゼロデイ攻撃※1による不正アクセスが発生しましたので、お知らせいたします。個人情報漏えいの可能性が否定できない状況ですが、現時点で漏えいそのものの痕跡や具体的な被害は確認されておりません。
１．不正アクセス発覚までの経緯
令和７年1月9日（木）
外部セキュリティ機関より受領したネットワーク関連機器の脆弱性情報に、QSTのネットワークで利用している当該機器が対象として含まれている事を情報基盤管理部職員が確認。脆弱性の緊急度及び深刻度を勘案し、安全確保のため同日17:30頃に当該システムを緊急停止しました。
1月14日（火）
当該機器の状況を調査した結果、令和6年12月下旬にゼロデイ攻撃による不正アクセスの痕跡があったことを確認しました。
２．被害状況
テレワーク若しくはリモートアクセス業務を行う目的で、個人情報（メールアドレス、氏名、所属組織名）が当該機器に登録されていることが判りましたが、現時点で当該個人情報の漏えいそのものの痕跡や、漏えいした情報が悪用される等の具体的な被害は確認されておりません。
３．今後の対応
現在、侵害の詳細及び情報漏えいの有無、漏えいが有った場合の範囲など外部委託会社の協力を得て調査を進めているところです。今後、調査を進めQSTとして再発防止措置を含めた情報セキュリティ対策を強化してまいります。
※1)ゼロデイ攻撃
サーバ等IT製品で発見されたセキュリティ上の脆弱性を解消するための対策がメーカー等から提供・公表される前に行われるサイバー攻撃