国立国会図書館の不正アクセス事件｜第3報「個人情報の漏えいなし」までの経緯と侵入経路、2014年事案との違い

国立国会図書館（NDL）は2025年11月11日、外部委託で開発中だった館内サービスシステムの開発環境に不正アクセスがあったと公表しました。侵入の起点は、委託先であるインターネットイニシアティブ（IIJ）の再委託先、ソリューション・ワンのネットワークです。11月25日の第2報では利用者IDやプリントアウトの申込情報が漏えいした可能性を示しましたが、2026年3月11日の第3報で、個人情報の漏えいはなかったと判明しました。この記事では第1報から第3報までを一次情報で整理し、2014年に起きた別の不正アクセス事案との違いと、システム開発を外部に委託する発注者が取るべき対策をまとめます。

まとめ：国立国会図書館の不正アクセス事件の要点と最新の結論

• 何が起きたか：館内サービスシステムのリプレース開発で、再委託先ソリューション・ワンのネットワークが侵入を受け、IIJが管理する開発環境に不正アクセスが行われた（2025年11月5日に確認）。
• 影響範囲：開発環境に限定され、NDLの各種サービスや情報基盤への影響は確認されていない。
• 第2報（2025年11月25日）：漏えいの可能性がある個人情報として、利用者IDのみ943件と、プリントアウトの申込情報40,373件（4,360人）を公表し、該当者へ個別通知。
• 第3報（2026年3月11日・最新）：IIJを通じた第三者のネットワークセキュリティ専門業者の調査で、個人情報の漏えいはなかったと判明。開発環境はセキュリティ対策を強化して構築し直す。2026年10月24日時点で、これより後の続報は出ていない。
• 2014年の事案とは別件：2014年に発覚したのは、館内ネットワークの運用を受託していた日立製作所のSEが、与えられた権限で内部情報を閲覧・取得した事案。外部からの侵入ではない。

NDLの第3報では、利用者に新たな手続きを求める案内はありません。発注者の立場で見ると、委託先の採用基準を満たしていた再委託先から侵入された点と、開発環境に利用者の情報が置かれていた点は、漏えいが無かった事実とは別に検討すべき課題です。

事件の概要：館内サービスシステムの開発環境が再委託先経由で侵害された構造

NDLの第1報（報道発表資料）によると、NDLは館内サービスシステムのリプレース開発をIIJに委託していました。2025年11月5日、IIJの再委託先であるソリューション・ワンのネットワークが何者かの侵入を受け、それに起因して、IIJが管理する開発環境に不正アクセスが行われたことが確認されました。

NDL・IIJ・ソリューション・ワンの三層の委託関係と侵入経路

契約の構造は、発注者のNDL、委託先のIIJ、IIJが開発業務の一部を委託するソリューション・ワンの三層です。IIJの発表は、ソリューション・ワンの業務設備が侵害を受け、NDLの開発環境に直接アクセスする作業用ネットワークを経由して侵害が及んだと説明しています。IIJが提供するネットワークサービスの設備やIIJの事業所のネットワーク、ソリューション・ワン以外の委託先には、不正アクセスは確認されていません。

IIJは、外部事業者への委託にあたってセキュリティ水準を含む採用基準を定めており、ソリューション・ワンもその基準に適合することを確認していたとしています。そのうえで、採用基準のセキュリティ水準の厳格化と、委託業務の管理監督体制の強化を表明しました。

開発環境に限定された影響と、本番サービス・情報基盤への影響の有無

第1報は、不正アクセスの影響は当該開発環境に限られ、NDLの各種サービスや情報基盤への影響は確認されていないとしています。ただし、開発環境のサーバ構成情報などシステム開発に用いる情報と、一部の利用者情報・利用情報が漏えいした可能性があるとも書いていました。NDLは開発環境へのネットワークアクセスを遮断し、館の情報環境の監視を強化しています。

第3報が結論を示したのは個人情報についてで、サーバ構成情報などシステム開発に用いる情報の漏えいの有無には触れていません。この点は2026年10月24日時点でも公表されていません。

第1報から第3報までの時系列と、漏えいの有無が確定するまでの約4か月

委託の中身は、NDLの令和6年度の随意契約の公表資料で確かめられます。「館内サービスシステムの導入 1式」は432,300,000円、「館内サービスシステムの賃貸借 1式」は1,008,150,000円で、どちらも2024年12月9日にIIJと契約されました。理由は、再度入札の結果、落札者がなく不落による随意契約となったためと記載されています。

確認から第1報までは6日、第1報から第2報までは2週間でした。漏えいが無かったと確定したのは第1報から4か月後です。この間、該当者には「漏えいの可能性がある」という通知が届いた状態が続きました。NDLのおしらせ一覧には、2026年10月24日時点で第3報より後の続報（第4報や、構築し直した開発環境・新システムの稼働時期）は掲載されていません。

システムの切替そのものは進んでいます。NDLは2025年11月25日、国際子ども図書館で12月25日に予定していた臨時休館をシステムの切替準備作業が延期となったため取りやめると告知しました。延期の理由は書かれていません。2026年3月12日には、システムの切替に伴う作業のため、東京本館を5月21〜23日・25日、関西館を5月7日・21〜23日・25日、国際子ども図書館を5月21日に臨時休館すると公表しています。この切替が今回の館内サービスシステムの稼働を指すとはNDLは明記していないため、新システムの稼働日は確定情報として扱えません。

第2報で示された漏えいの可能性の範囲と、第3報で漏えいなしと判明した結論

第2報は、漏えいの可能性がある個人情報の範囲について、可能な限りの調査が完了したとして、その対象を公表しました。第3報で否定されたのは個人情報の漏えいです。第2報に示された対象情報は、開発環境で扱われていた情報を検討する手がかりとして整理します。

利用者IDのみ943件とプリントアウト申込情報40,373件（4,360人）

第2報が挙げたのは次の2種類です。

プリントアウトの申込情報は、東京本館・関西館・国際子ども図書館で、デジタル化資料や電子ジャーナル、マイクロ資料の印刷を指示した利用者のものです。利用者IDと氏名に加え、資料名や資料のURL・資料ID、用紙サイズとカラー・モノクロの別、枚数、金額、利用目的（調査研究かその他か）、申込施設、申込端末の管理番号と設置部屋名、申込日時と精算日時が含まれていました。

NDLは該当者に個別通知を行うとし、連絡先を登録していない人には通知できないため、心当たりがあれば問い合わせるよう呼びかけました。第2報の時点で、インターネットへの公開などの二次被害や悪用の事実は確認されていません。

2026年3月11日の第3報における個人情報の漏えい否定と開発環境の再構築方針

第3報は、IIJを通じて第三者であるネットワークセキュリティ専門業者が行った調査の結果、今回の事案による個人情報の漏えいはなかったことが判明したと公表しました。不正アクセスがあった開発環境は、セキュリティ対策を強化して新たに構築し直すとしています。攻撃者が誰か、どの手口で再委託先に侵入したかは、第3報でも示されていません。

2026年6月末までの予定で設置されていた電話窓口と問い合わせ方法

第2報・第3報では、電子情報部電子情報企画課の電話窓口（平日午前9時〜午後5時）が案内され、設置は2026年6月末までの予定とされていました。2026年10月24日時点でこの期限は過ぎています。確認したいことがあれば、NDLのホームページの問い合わせフォームで内容に「その他」を選んで連絡します。

2014年の日立製作所SEによる不正閲覧事案と、2025年事案との違い

「国立国会図書館 不正アクセス」で検索すると、2014年の報道も上位に出てきます。これは2025年の事案とは別件で、起き方がまったく違います。

館内ネットワークの運用担当SEによるアクセス権限の悪用と処分

日立製作所の2014年6月20日の発表によると、NDLから館内ネットワークシステムの保守・運用を受託していた日立で、2011年6月から担当していたSEが、NDLから許可されていた館内ネットワークへのアクセス権限を使い、NDLの情報資産を複数回にわたって閲覧・取得していました。取得した情報には、NDLが発注するシステムに関する他社の提案書や見積書が含まれていました。発覚は2014年3月27日で、NDLの指摘によるものです。

日立の調査では、このSEから情報提供を受けるなど事情を知りながら関与した社員は4人いました。不正に得た情報で入札案件を落札した事実は無く、日立は発覚後に次期ネットワークシステムの応札を辞退しています。NDLは2014年6月16日に関与した社員2人を刑事告発し、日立と子会社5社に指名停止を通知しました。狙われたのは入札に関わる情報で、外部からの侵入ではありません。

内部の権限の悪用と、再委託先を経由した外部からの侵入の比較

2つの事案に共通するのは、NDLの外にいる受託者の側が入口になった点です。2014年は受託者の社員が正規の権限をそのまま使ったので、侵入を防ぐ仕組みでは止められません。この型を防ぐには、受託者に渡す権限を業務に必要な範囲へ絞ることと、閲覧の記録を発注者が点検する運用が要ります。2025年は外部の攻撃者が再委託先を踏み台にしたので、接続経路の制限と開発環境に置くデータの削減が効きます。同じ「委託先リスク」でも、打つべき対策が違います。

開発環境と再委託先が狙われる理由と、2025年事案から読み取れる構造上の教訓

ここからは、2025年の事案の事実を踏まえた一般論です。漏えいが無かったことは結果であって、侵入を許した構造が安全だったことを意味しません。

再委託先の作業用ネットワークが開発環境に直結していた侵入経路の問題

IIJの説明では、再委託先の業務設備が侵害され、そこから開発環境に直接アクセスする作業用ネットワークを経由して侵入されました。委託先や再委託先の拠点から開発環境へ接続する運用では、その接続経路も管理対象になります。発注者から見えるのは一次委託先までで、再委託先の端末やネットワークの管理状態は把握しにくくなります。接続先の認証や端末管理に弱点があれば、その事業者を経由して開発環境へ侵入されるおそれがあります。この型はサプライチェーン攻撃とはで起点別に整理しています。委託先を入口にした事案は2026年も続いており、NEC委託先の不正アクセスや大和証券のFAQシステム「i-ask」を経由した事案でも、委託元が自分の側で何を点検するかが問われています。

開発環境に利用者の情報が置かれていたことによるプライバシー上のリスク

第1報と第2報は、開発環境から一部の利用者情報と利用情報が漏えいした可能性があるとしていました。開発環境に、実際の利用者IDや氏名、印刷の記録に相当するデータが置かれていたと読むのが自然です。なぜ開発環境にそのデータがあったのかは、公表されていません。

開発環境でアクセス権限を広く付与したり、監視を省いたりすると、本番環境と同等の保護を維持できません。そうした開発環境に本番と同じ個人情報を置けば、守りの弱い場所に重要なデータを置くことになります。図書館の利用記録は、何を読み何を調べたかを示し、利用者の思想・信条を推測する手がかりにもなりうるため、慎重な取扱いが必要です。図書館システムの構成と調達の考え方は図書館システムとはで扱っています。

図書館界には、この情報の重さを明文化した原則があります。日本図書館協会の「図書館の自由に関する宣言」は、第3で「図書館は利用者の秘密を守る」と掲げ、読者が何を読むかはその人のプライバシーに属するとして、読書事実を外部に漏らさないとしています。読書記録以外の利用事実についても、利用者のプライバシーを侵さないという定めです。第2報で挙がったプリントアウトの資料名や利用目的は、この「利用事実」にあたります。システムを開発する側も、この原則を要件として受け取る必要があります。

採用基準に適合していた再委託先からの侵入と、契約時の書面審査の限界

IIJは、ソリューション・ワンを採用する際にセキュリティ水準を含む基準への適合を確認していました。それでも侵入は起きています。IIJは採用時の審査方法の詳細を公表していません。一般論として、書面審査だけでは、委託期間中の端末やネットワークの状態までは保証できません。委託先の評価は、採用時の一度きりではなく、接続している期間を通じて続ける必要があります。個人情報を扱わせる委託で委託元が負う監督の範囲は委託先管理とはで、発注先を選ぶ段階の評価項目はベンダー選定とはで整理しています。

システム開発を外部に委託する発注者が取るべき再発防止策と優先順位

本記事では、侵入経路と漏えい対象を減らす観点から、接続制限と個人情報の持込み削減を優先します。

再委託先の拠点・端末まで含めた接続経路の把握と、開発環境への接続制限

最初に行うべきは、誰がどの経路で開発環境に接続しているかの棚卸しです。一次委託先だけでなく、再委託先の拠点と端末まで一覧にし、開発環境への接続は必要な期間・必要な相手だけに絞ります。多要素認証と接続元の制限を必須にし、接続ログを発注者側でも確認できるようにします。2014年の事案が示すとおり、正規の権限で入れる相手でも、業務に要らない領域は開けないように切っておく必要があります。自社の開発環境や公開サーバーに残る弱点は、脆弱性診断・セキュリティ診断で第三者の目から確かめられます。その結果を、接続経路・権限・データ管理の点検結果と合わせて、対策の優先順位付けに使います。

開発環境への本番個人情報の持込み禁止と代替データの検証

開発やテストに本番データを使わないことを、契約と運用の両方で決めます。本番に近いデータが必要な場合も、氏名やIDの置換だけで個人情報でなくなるとは限りません。個人情報保護委員会のQ&A（A6-10）が示すとおり、漏えいした情報が個人データにあたるかは、その情報を取り扱う事業者を基準に判断します。マスキング後の識別可能性や他の情報との照合可能性を確認し、合成データにも実在する個人の情報が残っていないかを確かめます。

開発環境に個人情報を持ち込まなければ、利用者情報の漏えいリスクを減らせます。ただし、侵入後はログや他環境への影響を調査し、個人情報の漏えいのおそれがないことを確認したうえで、通知の要否を判断します。開発工程に防御を組み込む考え方はソフトウェアサプライチェーンセキュリティとはで詳しく解説しています。

委託契約で事前に決めておく再委託・接続・データ・報告の6項目

NDLの事案で問題になった論点を契約に落とすと、次の6項目になります。どれも発注の段階で決めておかないと、事故が起きてからでは交渉しにくいものです。

1. 再委託の可否と、再委託先の名称・拠点・作業範囲の事前承認
2. 開発環境へ接続できる拠点・端末・期間と、接続方式（多要素認証・接続元の制限）
3. 開発環境で扱ってよいデータの範囲（本番の個人情報を持ち込まない）
4. 委託先・再委託先で事故が起きたときの発注者への報告期限と連絡先
5. 事故調査への協力義務と、ログの保存期間・提供方法
6. 契約終了時の開発環境とデータの消去方法、その証跡の提出

このうち4と5は、漏えいの有無を早く確定させるために効きます。NDLの事案では、調査はIIJを通じて第三者の専門業者が行いました。発注者が自らログを確認できる取り決めがあれば、調査の段取りを短くできる可能性があります。

委託先で侵入が起きたときに発注者が最初に確かめる影響範囲と調査状況

委託先から「開発環境に不正アクセスがあった」と連絡を受けたとき、発注者が最初の数日で確かめるべき点は限られています。

• 侵入された環境と、本番環境・社内ネットワークとの接続の有無
• 侵入された環境に置かれていた個人情報の種類・件数・期間
• 接続を遮断した日時と、遮断後に新たな侵入が無いことの確認方法
• 調査を担う専門業者と、結果が出るまでの見込み

NDLは第1報で、影響が開発環境に限られることと、利用者情報が漏えいした可能性があることを分けて示しました。第2報では対象期間と項目まで特定しています。どこまでわかっていて何が未確定かを分けて公表する順番は、他の組織でもそのまま参考になります。

委託先の選定や継続評価で共通の物差しとして使うSCS評価制度

委託先のセキュリティ水準を発注者が個別のチェックリストで確かめる方法には限界があります。経済産業省と国家サイバー統括室は2026年3月27日、サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の構築方針を公表しました。★3と★4は2026年度末頃の制度開始（申請受付の開始）を目指し、★5は2026年度以降に具体化を検討するとしています。制度が始まれば、委託先の選定や継続評価で共通の基準を使えるようになります。★3・★4の違いと申請の準備はSCS評価制度とはを参照してください。

反対に、委託契約書にセキュリティ条項を足すだけで終える対策は採りません。IIJの事例が示すとおり、基準への適合を確認していても侵入は起きます。条項より先に、接続経路と開発環境のデータを減らすことに手を付けるべきです。

よくある質問

国立国会図書館の不正アクセスで個人情報は漏えいしましたか？

漏えいはありませんでした。NDLは2026年3月11日の第3報で、委託先のIIJを通じて第三者のネットワークセキュリティ専門業者が行った調査の結果、今回の事案による個人情報の漏えいはなかったことが判明したと公表しています。2025年11月25日の第2報で示された943件と40,373件は、漏えいの「可能性」の段階の数字でした。

不正アクセスの原因は何でしたか？

IIJの再委託先であるソリューション・ワンのネットワークが何者かの侵入を受け、そこから開発環境に直接アクセスする作業用ネットワークを経由して、IIJが管理する開発環境に不正アクセスが行われました。NDLの本番サービスや情報基盤への影響は確認されていません。攻撃者が誰か、再委託先への侵入の手口は公表されていません。

漏えいの可能性があったのはどのような情報ですか？

第2報では、2025年3月15〜27日に関西館に来館した一部の利用者IDのみ943件と、2025年9月24日〜10月22日に3館でプリントアウトを申し込んだ利用者の申込情報40,373件（4,360人）が挙げられていました。後者には氏名、資料名、利用目的、申込日時などが含まれます。第3報でいずれも漏えいはなかったと判明しています。

国立国会図書館は過去にも不正アクセスの被害を受けましたか？

2014年に、館内ネットワークの保守・運用を受託していた日立製作所のSEが、許可された権限で他社の提案書や見積書を閲覧・取得していた事案が発覚しています。NDLは2014年6月16日に関与した社員2人を刑事告発し、日立と子会社5社を指名停止にしました。外部からの侵入ではなく、受託先社員がアクセス権限を悪用した事案です。

通知を受け取った利用者は何か対応が必要ですか？

NDLは個人情報の漏えいはなかったと公表しており、第3報では利用者に新たな手続きを求めていません。電話の問い合わせ窓口は2026年6月末までの予定で設置されていました。確認したいことがあれば、NDLのホームページの問い合わせフォームから「その他」を選んで連絡できます。

関連記事

• サプライチェーン攻撃とは？起点別3類型と最新事例・対策の優先順位
• 委託先管理とは？個人情報保護法25条の監督義務とチェックリスト・契約条項の実務
• セキュリティ対策評価制度（SCS評価制度）とは：★3・★4の違いと開始時期・費用
• 図書館システムとは？OPAC・貸出返却・蔵書目録の機能構成と、パッケージか受託開発かの判断基準
• JNSA 2025セキュリティ十大ニュース解説｜第1位〜第10位と番外編の事実と2026年までの続報