大阪大学は2026年10月21日、全学教育用電子計算機システムの運用を委託している日本電気株式会社（NEC）が情報共有に使っていたクラウドストレージ（インターネット上でファイルを保存・共有するサービス）から、卒業生・在学生・教職員の計7万7851人分の個人情報が漏えいしたと発表した。NECは、大学に報告していなかった協力会社と情報を共有するため、大学との契約に基づかずに個人情報を含むファイルをこのクラウドストレージに置き、作業終了後も削除せずに保持していた。これらのファイルが第三者にダウンロードされた。
経緯：NECからの報告で判明
発表によると、大阪大学は10月9日、NECから、9月26日に第三者によって大学の個人情報を含むファイルがダウンロードされていたとの報告を受けた。その後の調査で、大学に報告されていない協力会社が業務の一部に関与していたこと、NECが大学との契約に基づかずに当該協力会社とファイルを共有していたこと、作業終了後に削除すべきファイルを保持していたことが確認されたという。
NECは10月20日、システム開発・保守業務の委託先がサイバー攻撃を受け、関係者間の情報共有に使っていたクラウドストレージから顧客の個人情報を含むファイルが漏えいしたと公表しており、大阪大学は今回の発表の関連情報としてNECの公表資料を挙げている。
漏えいした情報
現時点で確認されている漏えい対象者は7万7851人（重複を除く）で、内訳は卒業生5万9014人、在学生1万5035人、教職員3802人である。対象者によって項目は異なるが、主な情報は次のとおり。
- 氏名
- 大阪大学個人ID
- 大学が付与するメールアドレス（OUMailアカウントなど）
- 学籍番号または職員番号
- 所属情報
個別の対象情報は今後、本人に通知するとしている。NECの調査では、この件に関連する大学の全学教育用電子計算機システムへの不正アクセスの痕跡は確認されていない。現時点で漏えい情報の不正利用や二次被害は確認されていないが、大学は漏えいした情報を悪用したフィッシングメール（偽のサイトに誘導して情報を盗み取るメール）やなりすましメールへの注意を呼びかけている。
大学は「重大な問題」と認識
大阪大学は、報告のない協力会社が業務に関与していたこと、NECが契約に基づかずに個人情報を含むファイルを共有・保持していたことを重大な問題と認識しているとし、NECに対して事態の収束、原因究明、再発防止策の徹底を求めていくとしている。
委託先の「その先」まで見えているか
今回の漏えいでは、大学のシステム自体への不正アクセスの痕跡は確認されておらず、委託先とその協力会社の間でのファイルのやり取りが起点になっている。発注側が把握していない再委託や、契約にない方法でのデータ共有、作業後に消されずに残ったファイルは、いずれも発注側の管理の目が届きにくい部分である。
業務を外部に任せている組織は、委託先がさらに別の会社に作業を任せていないか、個人情報をどこに保存し、どの手段で共有しているか、作業が終わったデータをいつ消去するかを、契約と実態の両面で確かめておきたい。再委託を事前承認制にする、定期的に報告を求める、消去を証明する記録を出してもらうといった取り決めは、委託先側で事故が起きたときの被害を小さくすることにつながる。
同じ手口に、自社は備えられていますか？