日本脆弱性総合ポータル

早稲田大学：早稲田大学、個人情報管理システムへの不正アクセスで利用者情報が取得される

重要度
業務やサービスの停止・約3,400件
公表日
2026.11.09
原因の分類
侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. 早稲田大学の個人情報管理システムに第三者が侵入し、利用者情報が取得された。
  2. 侵入経路はまだ公表されておらず、大学が詳しく調べている。
  3. 学生と教職員は案内に従いパスワードを変更し、不審なメールに注意する。

2026年8月31日に行われた不正アクセスの痕跡が確認され、個人情報を管理するシステムへの第三者の侵入と、MyWasedaへのログインに使うユーザー情報の一部が取得されたことが判明した。取得された情報は延べ3,342件で、教職員番号、氏名、Wasedaメールアドレス、所属部署名、資格名、暗号化されたパスワードを含む。侵入経路は公表されていない。

確認された経路・公表元の推定

  1. 2026年8月31日に、個人情報を管理するシステムへの不正アクセスが行われた。
  2. PHPの脆弱性への対応を契機としてシステムの状況を確認し、不正アクセスの痕跡を確認した。
  3. 調査範囲を広げ、個人情報を管理するシステムへの侵入と一部情報の取得を確認した。
  4. 侵入経路は調査中で、資料では特定されていない。

根拠の要点

資料は侵入経路を示していない。PHPの脆弱性への対応を契機にシステムの状況を確認し、2026年8月31日の不正アクセスの痕跡を見つけたと説明している。PHPの脆弱性が侵入に使われたとの記載はない。

資料の基準時点：2026年11月9日時点の公表内容（取得日2026-11-15）

当時、対策できたのか

判定保留

侵入経路が公表されておらず、攻撃時点の既知の脆弱性への未対応や設定の不備も資料に示されていないため、判定を保留する。

公表された対策

  • 関係するシステムを停止し、学外との通信・アクセスを制限した。
  • システム管理者のパスワードを変更した。
  • 関連サービスの利用を制限した。
  • セキュリティ専門事業者と連携して調査を進め、関係機関に報告・相談している。
  • 学生と教職員に、Wasedaメールアドレスのパスワード変更等を個別に案内した。
  • 卒業生向けにWaseda IDを利用するサービスを、安全性の確認が取れるまで一時停止している。
  • 不審なメールやSMS等への注意を呼びかけている。
  • 原因と影響を検証し、監視・検知、初動対応、情報共有等を含むインシデント対応体制を見直して再発防止策を講じる予定である。

この事例を理解するための動画

まだ分からないこと

  • 侵入経路は公表されていない。
  • PHPの脆弱性が侵入に使われたかどうかは資料に記載がない。
  • ①②以外の情報について、第三者による取得の有無を調査中である。
  • 侵入の対象および範囲、原因、影響について調査を継続している。
  • 取得された暗号化パスワードが悪用されたかは資料に記載がない。
  • 卒業生向けサービスの再開時期と今後の対応は未定である。

関連する事例

同じ原因分類の事例

事例の一覧に戻る