東海大学の委託先ランサムウェア被害(2025年11月公表)
結論から
- ネットワーク保守の委託先(東海ソフト開発)のサーバがランサムウェアに感染し、そこに保存されていた大学の個人情報が漏えいした。対象は最大で延べ19万3,118人(2026年2月18日の第2報)。
- 委託業務は学内で行うルールだったが、委託先がデータを社内に持ち帰っていた。大学も第2報で、委託先への安全管理が徹底されていなかったと説明している。
- 侵入は、委託先のネットワークに入るための認証情報を攻撃者が不正に入手したことによる(委託先の報告)。大学の学内ネットワークへの侵入の形跡は確認されていない。
概要
- 公表日
- 2025年11月14日
- 発生
- 2025年11月7日
- 検知・発覚
- 2025年11月NaN日
- 最新の公表
- 2026年2月18日
- 組織・業種
- 東海大学(委託先: 東海ソフト開発)(教育 / 教育)
- 漏えいした情報・件数
- 最大で延べ193,118人(学生76,314人、保護者45,810人、役員・教職員49,816人、付属校の生徒・卒業生など)。ユーザーIDごとに数えているため重複あり。クレジットカード情報は含まれない
- 業務への影響
- 大学は、多要素認証のない一部の学内サービスを外部から使えないよう一時停止し、統合ID管理システムのパスワードを一括リセットした
- 業績への影響
- 未公表
- 犯行グループ(攻撃者の主張)
- 未公表(委託先のサーバにランサムウェアグループの脅迫文が残されていたと大学は説明しているが、グループ名は公表されていない)
- 身代金
- 未公表
- 行政の対応
- 大学が文部科学省(7回)、個人情報保護委員会(4回)、厚生労働省(1回)に報告。委託先は神奈川県警に通報
- 調査報告書・再発防止策
- 公式の資料を開く ↗
この事案の続報をメールで受け取る
続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。
経緯
-
委託先(東海ソフト開発)のサーバで、22時30分ごろに不正アクセスの形跡を確認。 [1]
-
委託先が不正アクセスを確認し、外部ネットワークを遮断。 [1]
-
委託先が、ランサムウェアグループによる攻撃であることを確認し、神奈川県警に通報。 [1]
-
委託先から大学へ第一報の連絡。 [1]
-
攻撃を受けたサーバに、保護されていない大学の個人情報ファイルが保存されていたと委託先が報告。 [1]
-
大学が第1報を公表。文部科学省と個人情報保護委員会に報告。 [1]
-
統合ID管理システムのパスワードを一括リセット(教職員。学生は11月27日、保護者は2026年1月13日)。 [2]
-
委託先が大学に調査報告書を提出。 [2]
-
対象者への郵送などによる通知と、専用の問い合わせ窓口の運用を開始。 [2]
-
大学が第2報を公表。漏えいの対象を最大で延べ193,118人と確定し、再発防止策を示した。 [2]
侵入経路と原因
被害を受けたのは大学のシステムではなく、ネットワークシステムの保守・管理を委託していた東海ソフト開発のサーバです。第1報によると、不正アクセスを受けた委託先の端末やサーバは20〜30台で、一部のファイルが暗号化されました。
侵入の経路について、第1報は「リモートメンテナンス用の入り口から、何らかの方法で窃取した管理者アカウントを用いて侵入された可能性がある」としていました。第2報では、攻撃者が委託先のネットワークに入るための認証情報を不正に入手して侵入した、という委託先の報告を載せています。認証情報をどうやって入手したかは公表されていません。
大学の情報が漏れた原因は、データの置き場所にあります。第2報によると、委託業務は大学の構内で、または大学の環境に接続して行う作業ルールでした。しかし実際には、委託先が大学のデータを社内に持ち帰るなど、ルールと異なる運用があり、個人情報が委託先に存在していました。大学は同じ資料で「本法人においても、委託先への個人情報の安全管理が徹底されていなかった」と説明しています。
なお、大学が導入しているSOC(セキュリティ・オペレーション・センター。ネットワークを常時監視する体制)の監視では、学内の事務環境への侵入の形跡は確認されていないとしています。
影響
第2報で確認された漏えいの対象は、最大で延べ193,118人です。2020〜2025年度の学生76,314人、その保護者45,810人、退職者を含む役員・教職員49,816人のほか、2024年度の入学予定者、付属の中等部・高等学校の生徒と卒業生、付属病院の健診受診者、取引先関係者などが含まれます。人数はユーザーIDごとに数えているため、重複があります。
対象の情報は区分ごとに異なり、氏名や学籍番号に加えて、学内のシステムを使うためのIDとパスワードが含まれる区分があります。クレジットカード情報は含まれていません。第2報の時点で、漏えいした情報が不正に使われたという報告は確認されていません。
大学は被害の拡大を防ぐため、多要素認証のない一部の学内サービスを外部から使えないよう一時的に止めました。業務への影響の大きさや、費用についての公表はありません。
会社の対応と再発防止策
大学は委託先と連携し、委託先が管理するサーバやネットワーク機器の管理者パスワードを変更しました。統合ID管理システムのパスワードは、教職員(2025年11月20日)、学生(11月27日)、保護者(2026年1月13日)の順に一括リセットし、付属校でも順次進めています。2025年12月3日からは、ほかの業務委託先にもセキュリティ対策の強化を求める注意喚起を始めました。
報告は、文部科学省に7回、個人情報保護委員会に4回、厚生労働省に1回行っています。2026年2月17日から対象者への郵送などによる通知と、専用の問い合わせ窓口の運用を始めました。連絡先が分からない人には、ホームページでの公表で通知に代えるとしています。
再発防止策は二つに分かれます。大学の中では、情報管理の責任者とルールを定めて明文化し、研修・訓練を強め、学内ネットワークへのアクセス管理を強化します。委託先については、委託契約書を見直して安全管理措置を明確にし、定期的な自己点検と報告を求め、実施状況を監査するとしています。委託先のネットワークへのアクセス管理の見直しも要請します。
この事案から学べること
- 委託契約に「学内で作業する」と書いてあっても、データが実際にどこにあるかを確かめなければ、委託先の被害がそのまま自社の漏えいになる。
- 保守用のリモート接続の入り口と、その管理者アカウントは、委託先の環境でも攻撃の入口になる。
- 学内のシステムのIDとパスワードが委託先に置かれていたため、一括リセットが必要になった。認証情報を業務データと同じ場所に置かないことが被害を小さくする。
- 多要素認証のないサービスは、認証情報が漏れたときに止めるしかなくなる。
自社で確認すること
- 1 保守・開発の委託先が、自社のデータを自社の外に持ち出していないかを、契約書ではなく実態で確認していますか。
- 2 委託先が使うリモート保守の入り口と管理者アカウントを、自社で一覧にして多要素認証をかけていますか。
- 3 委託先に渡したデータの範囲と保管場所を、委託先ごとに説明できますか。
同じ手口の事案
委託先・取引先経由
- ベネフィット・ワン(トク買) (2026年10月28日) 委託先のシステムに不正アクセス。クレディセゾン会員向け優待サービスの2万9,465人分が漏えい
- JAL・ANA(Amadeus) (2026年10月28日) 航空会社が使う予約システムに不正アクセス。JAL・JTAの延べ約9万2,000件の予約情報が対象に
- デジタル庁 (2026年10月22日) Web制作サービス「Studio」への不正アクセスの波及で、問い合わせフォームの入力内容 最大1万3,323件が漏えいした可能性
関連する事案
よくあるご質問
- 東海大学のシステムが直接攻撃されたのですか?
- 大学の発表では、攻撃を受けたのはネットワーク保守の委託先(東海ソフト開発)のサーバです。2026年2月18日の第2報の時点で、大学の学内ネットワークへの直接の侵入の形跡は確認されていません。
- なぜ大学の情報が委託先から漏れたのですか?
- 委託業務は学内で行うルールでしたが、委託先が大学のデータを社内に持ち帰るなど、ルールと異なる運用があったためです。大学も、委託先への個人情報の安全管理が徹底されていなかったと説明しています。
出典
- 【第1報】業務委託先サーバへの不正アクセスに関するお知らせ ↗ (学校法人東海大学、2025-11-14)
- 【第2報】業務委託先サーバへの不正アクセスに関する調査状況と対応について ↗ (学校法人東海大学、2026-02-18)
- 脅迫文がサーバに保存 ~ 東海大学委託先 東海ソフト開発にランサムウェア攻撃 ↗ (ScanNetSecurity、2025-12-05)
- 東海大学委託先 東海ソフト開発へのランサムウェア攻撃、漏えいの対象者数は最大で延べ 193,118 人に ↗ (ScanNetSecurity、2026-03-06)