大阪公立大学は11月13日、10月に起きたサイバー攻撃について第6報を出し、学生・教職員の ID・氏名・メールアドレス・生年月日など約17万名分の個人情報が漏えいしたと明らかにした。このうち約1,400名分には、銀行口座番号や健康関連情報、パスポート画像、旅券番号などが含まれる。
大阪公立大学「情報基盤システムの障害について (第6報)」(2026年11月13日)大阪公立大学
漏れたのは大学のシステムからではなく、システムの構築と運用を受託する NEC のクラウドストレージからだった。在学生や教職員だけでなく、卒業生や保護者も、自分が対象かを気にする段階に入った。
委託先の倉庫に残っていた移行データ
大学によると、10月2日にサイバー攻撃を起点とする情報基盤システムの大規模障害が起きた。調べると、NEC の再委託先の端末が不正アクセスを受け、攻撃者はそこから NEC が管理するクラウドストレージに入り、アカウント情報やパスワードを盗んだとみられる。そのうえで、NEC と再委託先が使う正規のアカウント (システム管理者のものを含む) で大学のシステムに侵入した。調査会社は、再委託先への侵入と大学への侵入を同じ攻撃者によるものと判断している。
11月12日に NEC から追加の報告があり、NEC のクラウドストレージから漏えいした中身が分かった。多くは、2021年度のシステム移行作業で NEC が使った移行データだった。作業が終わったあとも削除されず、そのまま保存されていた。
大学のシステムそのものからの流出は、現時点で明確な事実は確認されていないという。ただ、多くのシステムが暗号化される被害を受けており、流出の可能性を完全には否定できないとして、対象者に説明する方針を示した。
約1,400名分の中身
約17万名分の多くは、ID・氏名・メールアドレス・生年月日といった、学内のサービスを使うための情報だ。それだけでも、大学を名乗るメールに宛名と生年月日を添えれば本物らしく見える。
重いのは約1,400名分のほうだ。銀行口座番号、健康関連の情報、パスポートの画像と旅券番号が入っている。口座番号と氏名がそろえば、返金や引き落としを装った連絡に使われうる。パスポートの画像は本人確認の書類そのものだ。どの項目が誰の分なのか、項目ごとの件数は公表文の別紙に回されていて、本文では読み取れない。
対象の範囲と情報の種類は、NEC がまだ調べている。具体的な対象者が分かり次第、大学から個別に状況の説明と謝罪の連絡をする予定だが、連絡の手段 (郵送かメールか) は示されていない。
連絡を待つあいだにできること
大学が呼びかけているのは、今回の漏えいに便乗した不審な電話やなりすましメールへの注意だ。在学生は学内の連絡システムで最新の情報を確かめるよう案内されている。卒業生と保護者には専用の相談窓口が設けられ、障害の原因や調査の状況については NEC の問い合わせ窓口 (0120-45-3021・平日11時30分〜14時) がある。
手間は残る。対象かどうかが分かるまで、大学からの連絡と偽の連絡を見分ける必要がある。届いたメールのリンクや電話番号ではなく、大学の公式サイトのお知らせから確かめるのが確実だ。移行データは2021年度のものなので、当時在籍していてすでに卒業した人も無関係とは言い切れない。口座を大学に届けていた人は、身に覚えのない引き落としや問い合わせがないかを、しばらく通帳やアプリで見ていくことになる。知らせが届いてからの順番は、漏えいの知らせが来たらやること、順番つきの手順にまとめてある。
次に開くのは、大学のニュースページに載る第7報だ。個別連絡の手段と、別紙1にある項目ごとの件数がどう更新されるかを確かめたい。
ことば
- 再委託先 — 大学から仕事を受けた会社 (今回は NEC) が、さらにその一部を任せた会社。委託の鎖が長いほど、データを持つ場所も増え、どこで消すかの確認も難しくなる。
- 移行データ — 古いシステムから新しいシステムへ乗り換えるときに、名簿などをまとめて写したデータ。作業が終われば不要になるが、今回は2021年度の分が削除されずに残っていた。
委託先に一度渡した自分の情報を、あなたはいつまで残されていると考えているだろうか？
