📡 Signal｜大阪公立大の流出、約17万人に 口座番号や旅券など約1,400人分も

大阪公立大学は11月13日、10月2日のサイバー攻撃をめぐる第6報を出し、学生と教職員約17万人の個人情報が漏えいしたと発表した。ID・氏名・メールアドレス・生年月日に加え、約1,400人分については口座番号、健康に関する情報、旅券の画像と旅券番号といった重い情報も含まれていた。

大阪公立大学 — 本学情報基盤システムにおける障害の発生について【第6報】(2026年11月13日)大阪公立大学

漏れた場所は大学のシステムではない。システムの保守を受け持つ NEC の再委託先の端末と、NEC のクラウドストレージだった。重い情報の多くは、NEC が2021年にシステムを移した際のデータで、作業が終わった後もクラウドに残っていた。委託の鎖の一番外側の綻びが、大学の中枢にまで届いた構図だ。

再委託先から管理者アカウントへ

第6報によると、攻撃の順序はこうだ。攻撃者はまず NEC の再委託先の端末に侵入し、NEC のクラウドストレージからアカウントの情報とパスワードを盗んだ。そのうえで、NEC と再委託先が持つ正規のアカウントとパスワード (システム管理者のものを含む) を使って大学のシステムに入り、多くのシステムを暗号化した。専門の調査会社は、再委託先と大学への侵入を同じ攻撃者によるものと結論づけた。

漏れたデータには、個人情報のほかに、大学のシステムの管理者情報など、運営上の重要な情報も含まれていた。大学のシステムそのものからの明らかな流出は確認していないが、不正なアクセスと暗号化があった以上、流出の可能性は否定できないとしている。

約17万人と約1,400人、二つの層

漏えいは二つの層に分かれる。約17万人分は、学生と教職員の ID・氏名・メールアドレス・生年月日。約1,400人分は、口座番号、健康に関する情報、旅券の画像と番号など、悪用されたときの影響が大きい情報だ。項目ごとの件数は、大学が発表文の別紙で示している。

対象となる個人の特定は NEC が進めており、大学は特定でき次第、本人に通知して謝罪するという。卒業生と保護者向けの専用の問い合わせ窓口を設け、在学生には学内のポータルで案内している。二次被害は確認されていないが、流出に便乗した不審な電話やなりすましのメールへの注意を呼びかけた。

終わった作業のデータが、残り続けていた

大学は原因として二つを挙げる。一つは、再委託先への侵入で盗まれた正規のアカウントが使われたこと。もう一つは、NEC が大学の重いデータを、作業が終わった後も長く、広く共有されたクラウドストレージに置いていたことだ。再発防止策として、委託先の作業の管理の強化を挙げている。

システムの移行は、古い仕組みから新しい仕組みへデータを丸ごと運ぶ作業で、運ぶ途中のデータは本番のシステムより守りが薄くなりやすい。今回は、その途中の荷物が5年近く倉庫に置かれたままになり、倉庫の鍵を持つ下請けが破られた。発注者の大学が自分の守りを固めていても、委託先とその先の再委託先がどこにデータを置いているかまでは見えていなかった。

大学や自治体のシステムの多くは、少数の大手の IT 企業とその下請けの網で動いている。一つの再委託先の端末が、複数の発注者の扉の鍵を同時に握りうる。個人情報保護の責任は発注者にあるが、実際の管理は委託の鎖の先にある。

確認できる次の一点は、大阪公立大学のお知らせのページに出る次の報で、NEC による対象者の特定がどこまで進んだか、別紙の項目ごとの件数が更新されるかだ。NEC 自身が再委託先の管理とクラウドの運用をどう見直すと発表するかもあわせて見る。

ことば

• 再委託 — 仕事を受けた会社が、その一部をさらに別の会社に任せること。発注者からは再委託先が見えにくく、データの置き場所や鍵の管理が契約の想定から外れやすい。
• 移行データ — システムを入れ替えるとき、古いシステムから新しいシステムへ移すために取り出したデータ。作業の後に消すべきものが残ると、本番のシステムの外にある無防備な写しになる。

🔗 一次ソース

• 大阪公立大学 — 本学情報基盤システムにおける障害の発生について【第6報】(2026年11月13日)大阪公立大学