大阪公立大にランサムウェア攻撃、再委託先のアカウントを悪用

何が起きたのか

大阪公立大学は2026年10月21日、情報基盤システムの障害について第5報を出しました。10月2日の未明にサーバーが次々に止まり、学内ネットワーク、メール、ウェブサイト、教務、財務会計、人事給与、図書館などのシステムが使えなくなった件です。大学は10月5日の記者会見で、ランサムウェアによる攻撃と判断したと説明していました。

第5報によると、原因は委託先をたどった攻撃でした。大学は保守と運用をNECに委託しています。NECが開発や保守の一部を再委託している事業者が9月下旬に攻撃を受け、その事業者の正規のアカウントで大学のシステムに入り込まれました。NECも10月20日に、委託先への不正アクセスに起因する顧客のシステム障害と情報漏えいを公表しており、大学はその日にNECから報告を受けたとしています。

10月2日の経過

記者会見の資料によると、10月2日の経過は次のとおりです。

• 午前0時20分ごろ：保守を委託している会社が、情報基盤システムのサーバーが順に止まっていることに気づき、原因の調査を始めました
• 午前1時40分ごろ：会社から大学の情報システム部門へ障害の連絡がありました
• 午前2時ごろ：遠隔での調査と対応が難しいため、現地での対応を決めました
• 午前4時ごろ以降：会社の技術担当者が到着して調査し、仮想サーバー群が止まっていることと、一部のデータが改ざんされた形跡を確認しました
• 午前7時ごろ：大学のOMUエントランスページで、学生向けに休講の案内を出しました
• 午前8時15分：危機対策本部を設置しました
• 午前11時ごろ：文部科学省、情報セキュリティ関連の団体、警察へ報告しました

大阪府と大阪市へは午前8時ごろに報告しています。個人情報保護委員会へは10月5日の午前10時ごろに連絡しました。

被害を受けた主なシステムは、学内ネットワーク、メール、法人のウェブサイト、教職員用のポータル、事務用の端末（PCにログインできない状態）、財務会計、人事給与、教務、教育支援、入試の情報のデータベース、図書館です。

漏れた情報

情報は2か所に分かれます。

1つはNECが使っていたクラウドストレージです。大学に関連する個人情報とシステム関連情報の漏えいが確認されました。内容と件数は、大学がNECに確認している途中です。

もう1つは大学の仮想化基盤（サーバーを仮想的に動かす仕組み）の中の情報です。教務システム関連の約13万件などに漏えいの可能性があり、有無の調査が続いています。10月5日の記者会見で示した約13万件は、この仮想化基盤の情報で、NECのクラウドストレージの情報とは別のものです。

大学の対応

大学は学長を本部長とする危機対策本部を10月2日に設けました。学生や受験生、取引先への影響を抑えるため、代わりの手段で業務を続けています。

NECでは、事実関係と影響の範囲の調査が進んでいます。大学はNECと連携して情報を集め、必要な対応をするとしています。第5報には、学生や教職員が自分で行う手続きは書かれていません。

中小企業が学べること

保守会社や、その先の再委託先のアカウントは、正規の入り口です。侵入に使われても、正規のログインとして記録に残ります。まず、保守会社と再委託先が、どの端末から、どのアカウントで自社のシステムに入れるのかを、書面で確認します。使わないアカウントは止めます。

次に、委託先が別の会社に作業を出していないかを、契約で確かめます。出すときの事前の連絡と、安全管理の決まりがあるかも見ます。

受け渡しに使うクラウドの共有ストレージには、個人情報や接続情報を残さないようにします。この件でも、NECのクラウドストレージの内容が漏えいの対象になりました。

確認の項目は、システムの委託先に聞くべき5つのことにまとめています。