原子力機構の不正アクセス、免許証と健康診断が揃うと何が起きる？

原子力機構への不正アクセスと聞いて、原子炉が乗っ取られる場面を思い浮かべた人もいるかもしれません。発表されているのは、外部の利用者が手続きに使う研究支援サイトからの情報漏えいです。

175人分の個人情報、つまり身分証の画像や健康診断の結果などを含むファイルが、持ち出されました。身分証の画像は、多くの人がどこかの手続きで送ったことのあるものと、同じ種類です。発表された事実と、悪用されたらという私の想像は、章を分けて書きます。

原子力機構の不正アクセス、確定している数字だけ並べる

日本原子力研究開発機構（JAEA）の発表は2026年10月1日です。対象は、機構が契約するクラウド基盤上の研究支援サイトです。茨城県東海村の原子力科学研究所にある施設JRR-3について、外部の利用者が手続きに使います。

機構が9月25日に確認したのは、このサイトのファイル2,419件が外部から不正にダウンロードされたことです。9月29日には、うち367件、175人分に個人情報が含まれていると分かりました。個人情報を含む367件は、2026年5月以降に利用者本人が登録したファイルです。

• 顔写真付きの公的な身分証の画像 200件（運転免許証、マイナンバーカード、パスポート、在留カード）
• 特殊健康診断の結果 146件
• 放射線業務従事者証明書 21件

身分証の画像のうち6名分には、マイナンバーが含まれていました。IDやパスワード、登録フォームに入力した氏名などのアカウント情報は漏えいしていない、と機構は明記しています。ただ、身分証の画像そのものには氏名も顔も写っているので、「名前は漏れていない」とは読まないでください。パスワードは変えれば済みますが、顔は変えられません。

共同通信の報道によると、アクセスは9月23日と25日の2回あり、何者かが利用者IDを作ってログインし、ファイルをダウンロードしたとみられています。

原子力機構の不正アクセスで、原子炉の制御は奪われたのか？

JRR-3は研究用の原子炉ですが、発表されているのはその運転の話ではありません。機構は、研究支援サイトを機構内の業務ネットワークから独立して運用しているため、他のシステムへの影響はないと説明しています。サイトへの外部からのアクセスも止めています。

報道では、施設での実験の計画書も含まれていたと伝えられています。ただ、施設の安全や警備に影響する情報は含まれないとされています。

それでも、何もなかったわけではありません。175人分の個人情報を含むファイルは、実際に外へ出ています。身分証の画像も、健康診断の結果も、その中にあります。施設のシステムが無事でも、人の情報は動いた。私が気にしているのは、そちらです。

原子力機構の漏えいで、まだ誰にも分かっていないこと

いちばん大きな空白は、入口から中身までの道筋です。報道のとおり利用者IDを作ってログインしたのだとしても、そこから他の人が登録したファイルにどう届いたのかは、原因究明の途中です。

では、誰が、何のためにやったのか？

これも分かっていません。原子力の施設と聞くと、特定の国や組織を当てはめたくなる気持ちは分かります。けれど、私が確認した発表や報道にその根拠は出ていないので、この記事では名前を書きません。分からない部分を推測で埋めると、その上に積む話がすべて推測になるからです。

悪用されたのかどうかも、分かりません。発表の時点で、二次被害の記載は見当たりません。報道では不正利用は確認されていないとも伝えられていますが、確認されていないことと、起きていないことは別です。そこも含めて「分からない」が正確です。

分からないことが3つ並ぶと、落ち着かない気持ちになります。このあとで想像を始めるときは、どこからが想像かを、はっきり分けて書きます。

原子力機構の件、入口の手続きサイトに身分証が集まるのはなぜ？

発表から読み取れる研究支援サイトの役割は、施設の受付窓口に近いものです。入構や放射線管理といった、施設を使うときの手続きのために、利用者本人が書類を登録します。本人かどうかを確かめる場所なので、顔写真付きの身分証が集まるのは自然な流れです。

入口を本体の仕組みから切り離して置くのは、本体を守る手段の1つです。けれど、切り離された入口に置かれた書類を守るのは、また別の仕事になります。奥の設備より入口の受付のほうが、一人ひとりの情報は濃く集まるからです。

この形は、原子力の施設に限りません。カーシェアの会員登録、ジムの入会、イベントの参加登録、ネットでの口座開設。どれも入口で身分証の画像を求められることがあり、その画像が手続きのあとも入口のどこかに残る場合もあります。

原子力機構の漏えいが悪用されたら、ここからは想像の話

ここから先は、発表されていない私の想像です。起きたと言っているのではありません。夜中の3時にふと考え始めて、眠れなくなる種類の話として読んでください。

想像1 免許証の顔と住所が、なりすましの材料になる

運転免許証の画像には、顔、氏名、住所、生年月日が1枚にそろっています。それを手にした誰かは、書類の上でだけなら「あなた」にかなり近づけます。自分の知らないところで、自分の名前と顔をまとった誰かが、何かに申し込んでいる。

それに気づくのは、たとえば、ある朝の郵便受けかもしれません。申し込んだ覚えのない会社の封筒で、宛名は自分の名前、住所も合っている。想像はそこまでで、もう十分に冷たいものです。

免許証の画像がなりすましに使われたという発表は、今のところありません。

想像2 放射線業務従事者証明書と健康診断が、人物像をそろえる材料になる

身分証が「誰か」を示すなら、放射線業務従事者証明書は「どんな現場に関わる人か」の手がかりになります。特殊健康診断の結果は、その人の体の記録です。健康診断の結果は、個人情報保護委員会の留意事項でも、要配慮個人情報に該当する場合が多いとされています。

発表は、1人あたりの内訳までは示していません。もし自分の顔と住所、仕事の種類、体の記録が、知らない誰かの机に並んでいたら。ばらばらだった書類が、そこで1人の輪郭になります。

その輪郭が175人分、同じ施設の利用者として並べば、もう名簿です。自分は、その何行目にいるのでしょう。

これも私の想像です。名簿のように使われたという事実は、どこにも発表されていません。

想像3 研究機関や勤務先を名乗る連絡が、もっともらしく届く

いちばん現実に近いと私が思うのは、これです。夕方、知らない番号から着信があったとします。出ると、相手はあなたの名前も、JRR-3の利用手続きをしたことも、住んでいる町も知っている。こちらが名乗る前に、相手が先に全部言ってくれるので、警戒が一段下がってもおかしくありません。

そこへ原子力機構の件でお詫びとご確認を、と切り出されたら、疑う理由を探すほうが難しくなります。本物の情報で固めた偽物ほど、見分けにくくなります。

こうした連絡が実際に届いているという発表は、現時点では見当たりません。

想像4 残りの2,052件のファイルには何があったのか

2,419件から個人情報を含む367件を引くと、2,052件が残ります。その内訳は、発表されていません。

数が多いのは、こちらのほうです。それでも、この空白は私の想像で埋めません。

これらのファイルが何かに使われたという発表も、出ていません。

想像のあとで、原子力機構の発表に戻る

起き得ることと、起きたことは別です。発表の時点で、悪用されたという記載は見当たりません。

それでも想像しておく意味はあります。郵便受けの封筒も、夕方の着信も、先に思い描いてあれば、実際に目の前に来たとき、立ち止まる余地が残ります。どの連絡を疑えばいいかが、先に決まっているからです。

原子力機構の漏えいでマイナンバー6名分は、何が違うのか？

番号が漏れたら、もう取り返しがつかないのでしょうか？

マイナンバーを使う手続きでは、番号の確認に加えて、顔写真付きの書類などで本人かどうかを確かめる仕組みがあります。ただ今回は、番号が身分証の画像の中に含まれる形で出ているので、これで安心とは言い切れません。

番号そのものは、変えられる場合があります。マイナンバーは原則として変更されませんが、漏えいして不正に用いられるおそれがあると認められる場合は、変更を請求できます（世田谷区の案内）。必要な書類や扱いは自治体によって違うので、対象の6名の方は、住んでいる市区町村の窓口に確認してください。

原子力機構の不正アクセスを読んだあと、本人と読者がやること

個別のお知らせが届いた人は、まず連絡が本物かを確かめる

機構は、対象の方に個別のお知らせと謝罪を行っているほか、個人情報保護委員会や警察にも報告と相談をしたと発表しています。

なお、想像3のような偽物の連絡も考えられます。届いた連絡のリンクや電話番号はそのまま使わず、自分で開いた機構の公式サイトや、利用手続きでやり取りしてきた連絡先と照らしてから動いてください。

免許証などの画像が流出した場合は、現物が手元にあっても、信用情報機関のJICCに「名義の悪用防止」として本人申告のコメントを登録できます（JICCのよくある質問）。登録の影響や他の信用情報機関との関係は、あわせてFAQで確認してください。

届いていない人は、同じ名前を名乗る連絡を疑う

JRR-3の利用手続きをしたことがないのに「原子力機構の件で」と名乗る連絡が届いたら、その連絡自体を疑ってかまいません。

身分証の画像を預けた先を、今夜1つだけ思い出す

最後に身分証の画像を送ったのは、どこでしたか？

思い出せたら、そのアカウントをまだ使っているかを確かめてください。使っていないなら、退会や登録情報の削除の手続きがあるかを調べてみてください。入口に置いたままの書類を1つ減らす、最初の一歩です。

怖い想像は、ここまでで十分です。1つ思い出して、1つ確かめる。今夜はそれで終わりにして、ちゃんと眠ってください。