日本脆弱性総合ポータル

ポータス：釧路市の学習用端末を管理する委託先サーバーが攻撃を受け、アカウント情報が流出した可能性

重要度
令和2年 児童生徒分 11,106件
公表日
2026.10.15
原因の分類
サプライチェーン、侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. 学習用端末を管理する委託先のサーバーが攻撃を受け、アカウント情報が流出した可能性がある。
  2. 侵入口は公表されておらず、流出の原因はまだ分かっていない。
  3. 釧路市教委は学習用アカウントなどのパスワードを速やかに変更するとしている。

釧路市立小中学校の学習用端末の管理運用を委託されたポータスの社内サーバーが、ランサムウェアによる攻撃を受けた。サーバーには児童生徒と教職員の学習用アカウント情報などが含まれ、外部への流出の可能性を否定できないと報告された。現時点で流出や不正利用は確認されていない。

確認された経路・公表元の推定

  1. 令和8年8月29日、委託先の社内サーバーがランサムウェアによる攻撃を受けた。
  2. 当初、委託先は市が利用するサーバーへの影響はないと報告した。
  3. その後の外部専門機関による調査で、端末設定等の情報を保存していたサーバーに不正アクセスの痕跡が確認された。
  4. 10月13日、情報が流出した可能性を否定できないと報告された。

根拠の要点

公表文は、委託先のサーバーがランサムウェアの攻撃を受け、不正アクセスの痕跡が確認されたと説明している。外部専門機関の調査後、情報が流出した可能性を否定できないとされた。侵入口や攻撃の経路は書かれていない。

資料の基準時点：2026年10月15日更新時点

当時、対策できたのか

判定保留

資料には侵入口や攻撃時点の防御状況が書かれていない。既知の脆弱性や認証設定の例外も示されていないため、判定を保留する。

公表された対策

  • 全ての児童生徒と教職員のアカウント、学校のネットワーク機器などの管理用パスワードを速やかに変更する。
  • 委託先に情報の取扱いとその重要性を改めて伝え、管理体制の確認と指導を行う。
  • 委託先は外部専門機関に委託し、情報流出の監視と調査を行っている。
  • 保護者へは各学校を通じて経過説明とお詫びを順次行う。

この事例を理解するための動画

まだ分からないこと

  • 侵入口と攻撃の経路
  • 情報が実際に流出したかどうかの確定
  • 流出した情報の総数（資料は学年別の件数だけを示す）
  • 攻撃の全容（委託先の外部専門機関による調査は継続中）
  • 委託先の再発防止策の具体的な内容

関連する事例

同じ原因分類の事例

事例の一覧に戻る