大学が授業を止める。台風でも大雪でもなく、1通のフィッシングメールがきっかけだった。札幌国際大学（札幌市清田区）は、学生・教職員がフィッシング被害に遭い、複数のメールアカウントが乗っ取られたことで、全科目の休講という異例の措置に追い込まれた。教育機関を狙う「アカウント乗っ取り型」攻撃の典型例であり、被害がどのように連鎖し、なぜ授業停止にまで至ったのかを追う。
きっかけは7月9日夕方の1通
大学の公式発表によると、発端は2026年7月9日（木）17時30分ごろ。学生および教職員がフィッシングメールを受信し、本文中のURLから偽装サイトへアクセスして、そこにアカウント情報を入力してしまった。これにより、複数のメールアカウントが第三者に乗っ取られ、不正利用される事態が発生した。
大学が「現在確認されている不審メールの特徴」として挙げたのは、次のようなものだ。件名は「（送信者氏名）shared “HR Benefit Enrollment” with you」。Microsoft 365のファイル共有（ドキュメント共有）通知を装ったデザインで、本文は英語（「…invited you to view a file」など）、「HR Benefit Enrollment」といったファイル名を示し、「Open」ボタンをクリックさせて不正なサイトへ誘導する——という手口だった。正規のクラウドサービスの通知に見せかけ、警戒心を解いて認証情報を抜き取る、いま国内の教育機関で相次いでいる攻撃のパターンである。
「乗っ取り→大量送信」の連鎖
乗っ取られたアカウントは、そのまま次の攻撃の踏み台になった。大学によれば、不正利用されたアカウントから、過去にメールのやり取りがあった相手や、学内外のアドレスに向けて不審なメールが大量に送信されていることが確認された。実在する大学関係者のアドレスが送信元になるため、受信側は信頼して開いてしまいやすい。1人の被害が、面識のある相手へと次々に広がっていく構図だ。
送信元として大学が注意を呼びかけたのは、学生用の「@stu.siu.ac.jp」、教職員用の「@ts.siu.ac.jp」または「@ad.siu.ac.jp」の各ドメイン。これらから届いたメールでも、心当たりのない内容や不自然な添付ファイル・URLが含まれる場合は、開かず削除するよう強く求めた。
なぜ「全科目休講」にまで至ったのか
大学は事態の発覚後、直ちに不正な動きが確認されたアカウントの利用を停止した。だが、この停止措置こそが授業運営を直撃した。アカウントが停止されると、Outlook・OneDrive・CampusPlan・WebClass・Teamsといった、大学アカウントで使う各種サービスがまとめて利用できなくなる。学習管理システムもメールも使えない学生が続出すれば、通常授業は成り立たない。
大学は7月13日（月）・14日（火）の2日間、全科目を休講とすると決めた。メールの受信・開封はできるものの、被害拡大を防ぐため送信はできない設定とした。その後の報道によれば、ウイルス感染のリスクが解消しきれていないとして休講措置はさらに延長され、ITmediaは「休講5日間」と伝えている。1通のメールが、数日間にわたって大学の教育活動を止めたことになる。
教育機関が「格好の標的」になっている
札幌国際大学は再発防止策として、全学生・教職員への情報セキュリティ教育の徹底に加え、多要素認証（MFA）の導入・強化を挙げた。裏を返せば、今回の被害は、パスワードだけに頼る認証の弱さを突かれた結果でもある。仮に多要素認証が有効であれば、フィッシングで認証情報を奪われても、乗っ取りの成立を防げた可能性が高い。
大学のように、不特定多数のアカウント利用者を抱え、外部との頻繁なメールのやり取りが日常となっている組織は、攻撃者にとって「一度の成功が大量の踏み台につながる」格好の標的だ。実際、国内では日本大学や北九州市立大学など、同種のアカウント乗っ取り・不審メール送信の事案が相次いで報告されている。今回のように授業停止という形で実害が可視化されると、フィッシング対策がもはや情報システム部門だけの問題ではなく、組織全体の事業継続にかかわる課題であることが浮き彫りになる。
利用者一人ひとりにできる基本は変わらない。クラウドサービスの「共有通知」を装うメールが届いても、リンクを踏む前に送信元と文面の不自然さを確かめること、認証情報を入力する前にURLを疑うこと、そして多要素認証を必ず有効にしておくこと。1通を見抜けるかどうかが、組織全体を守る最後の一線になる。