- 重要度
- 重要度：5段階中4 合計5,376人
- 公表日
- 2026.11.10
- 原因の分類
- 製品・サーバーの脆弱性、認証・アクセス設定
- 対策可能性
- 対策の欠落を確認
この記事の3行まとめ
- 旧ホームページのサーバーに侵入され、5,376人分の個人情報が外部から読み取れる状態に。
- サポート終了の基本ソフトの弱点が悪用され、ログイン不要の機能も使われたとみられる。
- 対象の方は、本学を名乗る不審なメールや電話にご注意ください。
2026年10月21日に始まった第三者による不正アクセスで、2000年から2017年ごろに申込みフォーム等で受け付けた個人情報が残る旧サーバーが操作された。10月30日に侵入の痕跡を確認し、サーバーをネットワークから切り離した。合計5,376人分の個人情報が外部から取得され得る状態にあったが、持ち出しや二次被害は現時点で確認されていない。
確認された経路・公表元の推定
- 2026年10月21日、第三者による不正アクセスが始まる。
- サポートの終了した基本ソフトの修正されていない弱点が利用された。
- ログインせずに使える設定のままのホームページ更新の機能から、不正なプログラムが置かれたと公表元は考えている。
- 侵入の期間中に、サーバー内のファイルがまとめて読み込まれた。
- 2026年10月30日、侵入の痕跡を確認し、サーバーをネットワークから切り離した。
根拠の要点
公表元は、サポートが終了した基本ソフトの修正されていない弱点が利用されたと事実として説明している。一方、ログインせずに使える機能から不正なプログラムが置かれたことについては、「考えています」と推定の表現で述べている。侵入の期間中に、サーバー内のファイルがまとめて読み込まれた記録があるとしている。
資料の基準時点：2026年11月10日時点
当時、対策できたのか
対策の欠落を確認
資料は、サポートの終了した基本ソフトに修正されていない弱点があり、ログインせずに使える設定のままになっていた機能があったと説明している。修正されていない弱点への未対応と認証設定の例外が示されているため、対策の欠落を確認と判定した。
公表された対策
- 対象のサーバーをネットワークから切り離し、攻撃元からの通信を遮断した。
- ホームページを別のサーバーに移し、プログラムが動かない形で公開している。
- このサーバーにあったパスワード等のうち、現在も使われているものを変更した。
- 本学のメール等のアカウントに、不正なログインの記録がないことを確認した。
- 文部科学省・個人情報保護委員会、京都府、JPCERT/CCに報告し、京都府警察に相談している。
- 外部の専門業者による調査を行う。
- 使用を終えたプログラム・データの削除と、公開しているサーバーの定期的な点検を行う。
- サポートの終了した基本ソフト等の更新または廃止を行う。
- サーバーから外部への通信の制限と、通信の記録の保存、監視を強化する。
- 情報セキュリティの管理体制と、事故が起きたときの手順を見直す。
まだ分からないこと
- 個人情報が外部に持ち出されたかは、現時点で確認されていない。外部の専門業者による調査の結果を待つ必要がある。
- 侵入者の身元と攻撃元は、資料に示されていない。
- 利用された基本ソフトの弱点の特定（CVE番号等）は、資料に記載がない。
- 読み込まれたファイルのうち、実際に取得されたデータの範囲は示されていない。