大学コンソーシアム大阪に不正アクセス、学生1,434人分が対象

何が起きたのか

大学コンソーシアム大阪は2026年11月6日、Webシステムへの不正アクセスの調査結果を第2報として公表しました。同法人は単位互換事業や就業体験型プログラムを運営しています。

第1報（10月28日）と第2報によると、経過は次のとおりです。

• 10月20日：Webシステムに第三者が不正にアクセスしました
• 10月21日：法人が異常に気づき、対象のシステムの公開を止めました
• 10月24日：個人情報保護委員会へ速報を出しました
• 10月28日：第1報を公表し、対象の学生と受入企業・団体へ個別に連絡しました
• 11月6日：委託業者の調査結果と、対象データを精査した結果を第2報で公表しました

法人は単位互換事業と就業体験型プログラムのシステムの開発と保守を、2社の事業者に任せていました。2社が作ったシステムは共通のサーバーで動いていました。

原因

委託業者の調査で、不正アクセスは就業体験型プログラムのWebシステムだけにある脆弱性が原因だと分かりました。第1報によると、このシステムの開発と保守は株式会社遊文舎が担当しています。

単位互換のWeb出願システムは同じサーバーで動いていたため、サーバーの中に保存されていた学生の情報、企業・団体の情報、大学の管理アカウント情報にまで、漏えいのおそれが広がりました。同じサーバーで動いていた就業体験型プログラムの日誌管理システムでも、不審なアクセスとデータベースへの接続の試みが確認されています。ただし、不正ログイン、情報の閲覧や持ち出し、改ざんを示す証拠は確認されていません。

漏れた情報

第1報では、延べ1,557人分の学生と延べ319社分の企業・団体の情報で、同じ人が複数の年度に入っている数でした。第2報で重複を除くと、対象は次のとおりです。

• 単位互換の学生：1,120人
• 就業体験型プログラムの学生：314人（両事業の間の重複は除いていません）
• 企業・団体：154社・団体
• 大学の管理アカウント：45大学（すでに退会した大学や、参加を終えた大学の情報も含みます）

対象は2025年度と2026年度の学生のデータです。第1報によると、学生の主な項目は氏名、所属大学・学部・学科・学年、学籍番号、生年月日、性別、住所、電話番号、メールアドレス、緊急連絡先、出願情報、ログインIDとパスワードです。ログインのパスワードは、システムが発行した固有のもので、大学のメールアカウントなどのパスワードを法人が持っていたわけではないと説明しています。企業・団体では、担当者の氏名、部署、メールアドレス、受入の条件なども対象です。

第三者が情報を閲覧できる状態にあったことは確認されましたが、持ち出されたことを示す証拠は確認されていません。ただ、調査に使える記録に限りがあり、可能性を否定できないため、漏えいのおそれがあるものとして扱っています。ここに書かれた件数は、実際に漏れた件数ではなく、おそれがあるデータの範囲です。

法人の対応

個人情報保護委員会への速報、会員大学への報告、対象の学生と企業・団体への個別の通知を行いました。卒業などで今は大学に在籍していない学生には、別に文書で連絡しています。

対象のWebシステムは、いまも一時閉鎖していて、利用者はログインできません。就業体験型プログラムは、2026年度の事業が終わったことに伴い現行のシステムの閉鎖を続け、2027年度に向けた準備を進めます。単位互換のシステムの今後は、安全性を確認してから判断します。システムの刷新も視野に、対策と委託業者の管理体制を見直します。問い合わせは、専用のフォームと事務局の電話で受けています。

中小企業が学べること

1つのシステムの弱点が、同じサーバーで動く別のシステムの情報にまで影響しました。委託先が違うシステムを同じサーバーに置いていないか、古い年度のデータや使い終えたシステムが同居していないかを確かめ、必要なら分けておくと、被害の範囲を狭くできます。

アクセスの記録は、調査に使える長さを決めておく必要があります。この件では、記録の限りがあるために、持ち出しの有無を言い切れませんでした。サーバーとアプリケーションのログを何か月分残すかを決めて、書き換えられない場所にも写しておくと、同じ場面で言い切れる範囲が広がります。

卒業した学生にも別の文書で連絡した点も参考になります。退職者や元の取引先など、今は所属していない人にも連絡が届くよう、連絡の手段を決めておきます。システムの委託先に聞くべき5つのことも、委託先の管理を見直すときに使えます。