早稲田大学は2026年11月9日、学内の個人情報を管理するシステムに第三者が不正アクセスで侵入し、教職員や学生、卒業生などの情報延べ3,342件が取得されたと発表した。ポータルサイト「MyWaseda」へのログインに使うユーザー情報を管理するシステムで、暗号化された状態で保存されていたパスワードも含まれる。PHPの脆弱性への対応をきっかけにシステムを確認する中で、2026年8月31日の不正アクセスの痕跡が見つかったという。
発覚の経緯
大学の発表によると、プログラミング言語「PHP」の脆弱性（セキュリティ上の欠陥）への対応を契機に、学内システムの状況を確認した。その中で、2026年8月31日に行われた不正アクセスの痕跡を見つけ、本件が判明した。その後、調査範囲を広げた結果、個人情報を管理するシステムへの第三者による侵入と、一部の情報が取得された事実を確認したとしている。侵入の経路については、セキュリティ専門事業者と連携して調査を進めている。
取得された情報
侵入が確認されたのは、メールサービスなどを利用できるポータルサイト「MyWaseda」へのログインに使用するユーザー情報を管理するシステムだ。第三者に取得されたことが確認された情報は、次の2種類を合わせて延べ3,342件にのぼる。
- 教職員（退職者を含む）、学生、卒業生などに関する個別の情報：計81件（氏名・資格名、氏名・資格名・Wasedaメールアドレス、氏名・暗号化されたパスワードのいずれかの組み合わせ）
- 職員などに関するユーザー情報：3,261件（教職員番号、氏名、Wasedaメールアドレス、所属部署名、資格名、暗号化されたパスワードの6項目が一体で取得）
件数は延べ数で、同じ利用者が複数のメールアドレスを持っている場合があるため、実人数とは一致しない。パスワードは利用者が設定したものをそのまま保存していたのではなく、暗号化された状態で保存されていたという。これ以外の情報の取得は現時点で確認されていないが、可能性を否定できないとして調査を続けている。入試志願者や早稲田大学オープンカレッジの受講生に関する情報への影響は、現時点で確認されていない。
大学の対応
大学は、関係するシステムの停止、学外との通信・アクセスの制限、システム管理者のパスワード変更、関連サービスの利用制限などの措置を講じた。学生と教職員には、Wasedaメールアドレスのパスワード変更など必要な対応を個別に案内している。卒業生については、安全性が確認できるまで、MyWasedaをはじめWaseda IDを使うサービス（Wasedaメール、証明書発行など）を一時停止している。
8月31日の侵入、11月9日に公表
大学は11月9日、2026年8月31日の不正アクセスについて公表した。PHPの脆弱性への対応を契機とした確認で痕跡を見つけたとしており、侵入経路の調査を進めている。
ログインのためのユーザー情報を管理するシステムは、組織のさまざまなサービスの入り口にあたる。パスワードが暗号化されていても、取得された情報をもとに本人になりすます試みや、氏名とメールアドレスを使ったフィッシングメール（偽サイトへ誘導して個人情報などを盗み取るメール）が行われるおそれは残る。多要素認証（パスワードに加え、スマートフォンなどの所持や指紋などを組み合わせて本人確認する仕組み）の導入や、重要なシステムへのアクセスの常時監視など、侵入を前提とした備えが欠かせない。
同じ手口に、自社は備えられていますか？