福岡大学、情報漏えい：約3万3,668人◆委託先サーバへの不正アクセスによるランサムウェア被害

🚨また「委託先」が狙われた

今回の事案は、福岡大学自身のシステムではなく、就職活動支援を委託していた企業への不正アクセスが原因です。

現時点で判明している内容

• 漏えいした可能性のある人数：約3万3,668人

• 対象：2023～2026年度に在籍した学生

• 漏えいの可能性がある情報

  • 生年月日

  • 就職活動に関する試験結果

  • その他関連データ

• 現時点では情報の悪用は確認されていない

• 委託先企業が警察へ被害届を提出

共通して見えてきた2026年の傾向

ここ数日のニュースだけでも、

組織 被害 ニチレイ サイバー攻撃、物流停止、個人情報漏えいの可能性 村田製作所グループ 個人情報漏えい 福岡大学 委託先経由で約3.3万人分の情報漏えいの可能性

と、業種は違っても「委託先」「サプライチェーン」が弱点になるケースが続いています。

「自社は安全」では守れない

以前は、

という考え方が一般的でした。

しかし現在は、

• クラウドサービス

• 人事システム

• 給与計算

• 就職支援

• 物流会社

• 保険会社

など、多くの業務を外部に委託しています。

そのため、

委託先が侵害される ⬇ 大学や企業の情報が漏れる

という構図が増えています。

教育機関が狙われる理由 🎓

大学は、

• 学生情報

• 成績

• 研究データ

• 教職員情報

• 卒業生情報

など大量の個人情報を保有しています。

また、多くの外部サービスを利用しているため、攻撃対象が広がりやすいという特徴があります。

今後必要になる対策

委託先を選ぶ際には、

• 🔐 多要素認証（MFA）の導入状況

• 🛡️ 情報セキュリティ認証の取得状況

• 📋 インシデント発生時の報告体制

• 🔍 定期的なセキュリティ監査

• 📑 契約書での責任分担の明確化

なども重要な評価項目になります。

社会全体への示唆

今回の一連の事案は、「サイバー攻撃＝IT企業の問題」という時代が終わったことを示しています。

食品、製造業、大学、小売、物流といった、社会を支えるさまざまな分野が標的となっています。一方で、現時点では多くのケースで「漏えいの可能性」や「悪用は未確認」とされており、被害の実態は今後の調査で明らかになります。

重要なのは、組織だけでなく委託先も含めたサプライチェーン全体でセキュリティを管理することです。サイバーリスクは、もはや個別の企業や大学だけでは完結しない課題になっています。

現時点で公表内容を見る限りでは、

• 不正アクセス（ランサムウェア攻撃）が発生したことは事実

• 個人情報が漏えいした可能性は否定できない

• しかし、「漏えいした」と断定できる証拠は確認されていない

という内容です。

時系列で整理

① 4月17日

攻撃者が委託先（株式会社ノストラム）のネットワークへ侵入。

その際

• サーバ内のファイルを暗号化

• バックドア（再侵入用の仕組み）を設置

しています。

これは典型的なランサムウェア攻撃です。

② 4月19日

サーバが停止。

ここで初めて異常を検知。

その後、外部専門業者による調査開始。

③ 調査結果

判明したこと

✅ 不正侵入は確認

✅ ファイル暗号化も確認

✅ バックドアも確認

一方、

❌ データを外へ持ち出した証拠は見つからなかった

しかし

という報告になっています。

④ 攻撃者サイト

攻撃者側が

という告知をしていたとのこと。

これは最近のランサムウェア集団で非常によくある手口です。

流れとしては

1. 侵入

2. データ窃取

3. 暗号化

4. 身代金要求

5. 支払わなければ公開

という「二重脅迫（Double Extortion）」の可能性があります。

ただし、

とも記載されています。

漏えいした可能性のある情報

対象

令和5〜8年度在籍学生
（医学部医学科除く）

最大人数

• 学籍番号：約33,668人

• 生年月日：約33,668人

• 模試結果：約33,668人

• 氏名：約800人（登録者のみ）

氏名が800人だけなのは？

これは

SMART SPIでは

• 氏名登録が任意

だった可能性があります。

そのため

全員ではなく

登録者だけが約800人。

パスワードは？

公表には

パスワード

メールアドレス

住所

電話番号

クレジットカード

銀行口座

これらは書かれていません。

つまり

現時点では

漏えい対象として確認されていません。

リスク分析

学籍番号

単独では比較的リスクは低い。

ただし

大学内サービスでIDとして利用されている場合は注意。

生年月日

氏名と組み合わさると本人確認材料になります。

フィッシング詐欺に悪用される可能性があります。

SPI受験結果

これ自体で金銭被害になる可能性は低いですが、

• 就職活動履歴

• 能力検査結果

というセンシティブな情報です。

福岡大学の対応

大学側は

• 外部アクセス遮断

• 専門調査

• 文科省報告

• 個人情報保護委員会報告

を実施。

一般的なインシデント対応としては標準的な内容です。

この文章から読み取れること

少し気になる表現があります。

これは

「公開されていない」ことを確認しただけであり、

「窃取されていない」ことを証明したわけではありません。

また、

という表現も、

ログの欠損や攻撃手法の性質上、「持ち出しがなかった」と断定できないために用いられることがあります。

利用者が取るべき対応

もしあなたが対象学生なら、

• 大学から追加の連絡がないか確認する。

• 学籍番号や生年月日を使った不審なメール・電話・SMSに注意する。

• 同じ認証情報（ID・パスワード）を他サービスでも使っている場合は変更する。

• フィッシング詐欺に警戒し、大学や就職支援を名乗る連絡でも安易に個人情報を入力しない。

総合評価

この事案は、委託先サーバへの不正アクセスによるランサムウェア被害であり、現時点では個人情報の漏えい可能性があるため予防的に公表したケースと考えられます。公表内容からは、データの窃取や公開が確定したとは読み取れませんが、侵入・暗号化・バックドア設置という重大なセキュリティ侵害が確認されているため、漏えいリスクを完全には否定できない状況として受け止めるのが適切です。

+++++++++++++++++++++++++++++++

「うちの大学・会社は大丈夫」という致命的な認知バイアス

• 「丸投げ」はリスクの「丸抱え」： コスト削減や専門外を理由に外部委託（アウトソーシング）することは、自らの防衛権を他人に委ねる行為です。委託先が倒れれば、最終的に泥を塗られるのは委託した本人（今回で言えば福岡大学）です。

• 「証拠がない」は「安全」の証明ではない： 「情報窃取を示す直接的な証拠は確認されていない」という常套句は、単に「攻撃者が巧妙にログ（痕跡）を消したため追跡不可能だった」という意味に過ぎません。最悪を想定して動くのが、真の危機管理です。

• 人質にされる「学生の未来」： 就活支援サイトという性質上、就職活動の適性検査結果など、若者のデリケートなキャリアデータが狙われました。金銭目的のハッカー集団にとって、社会的信用の高い教育機関や若者の情報は極めて「効率の良い人質」なのです。

福岡大学の委託先不正アクセスで露呈したサプライチェーン攻撃の脅威！３万人の学生情報を人質にするランサムウェア二重脅迫の裏側と、外部委託という名の防衛放棄が招く個人情報漏えいの不都合な真実。丸投げＤＸからゼロトラストセキュリティへ、今こそ日本の組織が取るべき本当の自己防衛策とは？