早稲田大学に不正アクセス、MyWasedaの情報延べ3,342件取得

早稲田大学は2026年11月9日、学内ポータル「MyWaseda」へのログインに使うユーザー情報を管理するシステムに第三者が侵入し、情報の一部が取得されたと公表しました。取得されたのは延べ3,342件で、教職員番号、氏名、Wasedaメールアドレス、所属部署名、資格名、暗号化されたパスワードが含まれます。PHPの脆弱性への対応で学内のシステムを確かめていたところ、8月31日に行われた不正アクセスの痕跡が見つかりました。

発覚までの流れ

大学は10月22日から、PHPに関する脆弱性への対応として、MyWasedaとPHPで動くほかのシステムへのアクセスを制限していました。利用者と情報資産を守るための予防の措置で、終わりの時期は未定としていました。

この対応の中でシステムの状況を確かめたところ、2026年8月31日に行われた不正アクセスの痕跡が見つかりました。調べる範囲を広げた結果、個人情報を管理するシステムへの第三者の侵入と、一部の情報が取得された事実が確認されました。侵入の経路は調査中で、PHPの脆弱性が原因だとは書かれていません。

取得された情報

件数は延べ3,342件です。1人が複数のメールアドレスを持つ場合があるため、実際の人数とは一致しません。

• 教職員（退職者を含む）、学生、卒業生などの個別の情報：81件。内訳は、氏名と資格名が38件、氏名と資格名とWasedaメールアドレスが23件、氏名と暗号化されたパスワードが20件です
• 職員などのユーザー情報：3,261件。教職員番号、氏名、Wasedaメールアドレス、所属部署名、資格名、暗号化されたパスワードが一体の情報として取得されました

パスワードは利用者が設定した文字列そのものではなく、暗号化された状態で保存されていました。

これら以外の情報が取得された事実は、現時点で確認されていません。ただし可能性は否定できないとして調査を続けています。入試の志願者と、早稲田大学オープンカレッジの受講生の情報には、現時点で影響は確認されていません。

大学の対応

大学は関係するシステムの停止、学外との通信とアクセスの制限、システム管理者のパスワードの変更、関連するサービスの利用の制限を行いました。セキュリティの専門事業者と侵入の経路と影響の範囲を調べ、関係機関にも報告・相談しています。

学生と教職員には、Wasedaメールのパスワードの変更などを個別に案内しています。卒業生は安全を確かめるまで、Wasedaメールや証明書の発行などWaseda IDを使うサービスが一時的に使えず、再開の時期は別に知らせるとしています。大学や関係者を装った不審なメールやSMSが送られる可能性があるとして、覚えのない連絡のリンクや添付ファイルを開かず、IDやパスワードも入力しないよう求めています。問い合わせはITヘルプデスクが受けています。

今後は調査を続け、新しい事実が分かれば調査の完了を待たずに公表するとしています。監視と検知、初動の対応、情報の共有を含めて、インシデント対応の体制も見直すとしています。

中小企業が学べること

今回の侵入は8月31日で、見つかったのはPHPの脆弱性への対応の中でした。脆弱性の修正では更新を当てて終わりにせず、さかのぼってログに不審なアクセスがないかを確かめることで、すでに入られていたかが分かります。そのためには、何か月か前のログが残っている必要があります。PHPの脆弱性そのものはPHPに外からコード実行の脆弱性2件、悪用の観測もで取り上げています。

大学は、侵入が分かったあとシステム管理者のパスワードを変えています。社内でも、管理者のアカウントがどこにいくつあるかを一覧にしておくと、いざというときにすぐ変えられます。職員のメールのパスワードがほかのサービスと同じになっていないかも、あわせて見直しておきます。