福岡大学は、就職活動の筆記試験対策サイトを運用する委託先のサーバが不正アクセスを受け、最大3万3668人分の学生情報が外部に漏えいした可能性があると公表した。攻撃者はファイルを暗号化するランサムウェアを使い、外部から侵入するための「裏口」まで設置していた。大学が自ら管理していないシステムから、3万人規模の個人情報が流出しかねない事態となった点に、委託先を含めた情報管理の難しさが表れている。
何が起きたのか
福岡大学の公式発表によると、同大学は学生が就職活動で受ける適性検査「SPI3」などの対策サイトとして、株式会社ノストラムが提供する「SMART SPI」を利用していた。このサービスを運用していたノストラムが管理するサーバに第三者による不正アクセスがあり、保存されていた情報が漏えいした可能性がある。攻撃者のサイト上に、窃取したデータを公開する旨の告知が出ていたという。
漏えいの可能性があるのは、令和5年度から令和8年度に同大学に在籍した学生（医学部医学科を除く）の情報だ。対象は学籍番号と生年月日が最大3万3668人分、氏名（登録者のみ）が最大800人分、模擬試験などの受験結果が最大3万3668人分にのぼる。大学は「現時点で漏えいや悪用は確認されていない」としている。
ランサムウェア感染とバックドアの構築
事案の発覚に至る経緯も公表されている。令和8年4月19日に委託先のサーバが停止し、不正アクセスの可能性が浮上した。その後の調査で、4月17日に外部の攻撃者が委託先のネットワークに侵入し、ファイルを暗号化してサーバを起動できない状態にしていたことが分かった。あわせて、外部から不正に侵入するための裏口（バックドア）が構築されていたことも確認された。
大学は、調査報告では情報窃取を示す直接的な証拠は確認されていないものの、保存データが盗まれた可能性は完全には否定できないと説明している。一方で、委託先が外部事業者に依頼した調査では、漏えいしたデータが実際に外部へ公開されるなどの事実は確認されていないとしている。運用元のノストラムは、5月の時点で自社サーバがランサムウェア攻撃を受けサービスが停止したことをすでに公表しており、今回の福岡大学の発表はその後に判明した個人情報漏えいの可能性を受けたものとなる。
委託先の管理体制まで問われる時代
今回の事案が示すのは、自組織のシステムをどれだけ堅牢にしても、業務の委託先でセキュリティインシデントが発生すれば、自組織が管理する個人情報も危険にさらされるという現実だ。学生の氏名や生年月日、試験結果といった情報は、名簿としての価値だけでなく、なりすましや標的型の詐欺に悪用されるおそれもある。
大学側は、外部アクセスの遮断による安全な運用環境の構築、外部専門業者による調査、文部科学省と個人情報保護委員会への報告といった対応を進めている。委託によって外部の事業者に個人情報を預ける場面が増える中、委託先を選ぶ段階でのセキュリティ評価や、インシデント発生時の連絡・調査の取り決めを事前に固めておくことの重要性が、あらためて浮き彫りになった事案といえる。