釧路市の委託先にランサムウェア攻撃、小中学校の3万件に流出恐れ

何が起きたのか

釧路市は2026年10月15日、学習用端末の管理運用を委託している株式会社ポータスがランサムウェアの被害を受けたと公表しました。ランサムウェアはデータを暗号化して使えなくするウイルスです。

経過は次のとおりです。

• 8月29日：ポータスの社内サーバーがランサムウェアの攻撃を受けた。ポータスは当初、市が利用するサーバーへの影響はないと報告していた
• 外部の専門機関の調査後：市の端末の設定情報を保存していたサーバーに、不正アクセスの痕跡が見つかった
• 10月13日：ポータスが外部流出の可能性を否定できないと市に報告。同じ日に市教委は小中学校へ経過と対応を説明した
• 10月15日：市がページを更新

市は、学習用端末そのものと市教委のシステムは攻撃を受けていないとしています。ポータスは外部の専門機関に頼んで、情報の流出や不正利用の監視と調査を続けています。

漏れた情報

対象は児童生徒と教職員の氏名、ふりがな、学校名、アカウント名、パスワードです。次の3時点のデータで、合わせて3万1,233件です。年度の間で同じ人が重なっているかは、発表に書かれていません。

• 2020年：児童生徒1万1,106件、教職員879件、管理者4件
• 2025年：児童生徒9,252件、教職員871件
• 2026年：児童生徒8,284件、教職員837件

このほか、全39校の学校ネットワーク機器と学校メールの管理用パスワードも対象です。住所、生年月日、電話番号、口座情報、成績、健康診断の記録は含まれません。

対象には5年以上前の2020年のデータも入っています。そのデータをなぜ委託先が持っていたかは、発表に書かれていません。

市の対応

市は10月13日に学校へ説明しました。保護者には、各学校を通じて順に説明して謝罪します。すべての児童生徒と教職員のアカウント、学校ネットワーク機器と学校メールの管理用パスワードを速やかに変えるとしています。ポータスには、情報の取り扱いの重要性を改めて伝え、管理体制の確認と指導を行います。

市のページの時点では、公開や悪用は確認されていません。問い合わせ先は、ポータス、市の学校教育課、市の専用フォーム、郵送と来庁の4つが書かれています。

中小企業が学べること

委託先の第一報で影響なしと聞いても、調査が進むと変わることがあります。この件では攻撃から流出の恐れの報告まで約1か月半かかりました。結論を待つ間に進められる対策を決めておくと、次のように動けます。

• 委託先から「影響なし」と報告があっても、外部の専門機関の調査結果の報告をいつまでにもらうかを決めておく。報告が来た時点で、パスワードを変える担当と手順がすぐ動くようにする
• 委託先に渡す情報を減らす。端末の管理でパスワードそのものを委託先に持たせる必要があるか、変更の仕組みで足りないかを見直す
• 以前の年度のアカウント情報が委託先に残っていないかを確かめ、消す時期を契約に書く
• 委託先の点検の質問はシステムの委託先に聞くべき5つのことも使えます