京都外国語大学のホームページの旧サーバーに侵入、5,376人分

学校法人京都外国語大学は2026年11月10日、ホームページを公開していた旧サーバーが第三者の不正アクセスを受け、保存されていた個人情報が外部から取得され得る状態にあったと公表しました。対象は合計5,376人で、主に2000年から2017年に申込みフォームなどで受け付けた情報です。現時点で、個人情報が外部に持ち出された事実や、悪用などの二次被害は確認されていません。原因として、ログインせずに使える更新の機能、サポートの終わったOS、使い終えたまま残していたプログラムとデータが挙げられています。

侵入から公表までの流れ

• 10月21日：第三者による不正アクセスが始まる（後の調査で判明）
• 10月30日：サーバーへの侵入の痕跡を確認し、同日にネットワークから切り離す
• 11月2日：侵入の範囲の調査を終え、対策本部を設置
• 11月4日：文部科学省と個人情報保護委員会に報告し、京都府に連絡
• 11月5日：京都府警察に相談し、JPCERT/CCに報告
• 11月6日：京都府に報告。校友会も個人情報保護委員会に報告
• 11月10日：公表

10月21日から切り離すまでの間、第三者がこのサーバーを操作できる状態にありました。ホームページは別のサーバーに移して公開を続けています。

漏えいのおそれがある情報

旧サーバーには、過去にホームページの申込みフォームなどで受け付けた個人情報が残っていました。侵入の期間中に、サーバー内のファイルがまとめて読み込まれた記録があります。複数の区分に当たる人は1人と数えているため、次の表の区分ごとの人数を足しても合計とは一致しません。

区分	主な内容	人数
大学・短期大学（卒業生・当時の学生など）	卒業生の登録、当時の学生の授業の受講の記録、オープンキャンパスの申込み	1,744人
大学・短期大学（当時の教職員・学生団体など）	当時の教職員のメールアカウントの台帳、メーリングリストの会員、学生団体の行事の申込み	1,085人
京都外国語専門学校	資料請求、当時の学生と教員の欠席・遅刻・早退の届け	982人
京都外大西高等学校	学校案内の資料の申込み、問い合わせ	423人
京都外国語大学校友会（同窓会）	住所や勤務先などの変更の届け、会員名簿の入力データ	1,156人

主な項目は氏名、住所、電話番号、メールアドレス、学籍番号、勤務先、在籍校、学年で、一部の人は生年月日も含まれます。専門学校の欠席などの届けの一部には、健康に関わる内容がありました。クレジットカードの情報は含まれていません。

原因として挙げられた3つの点

1つ目は旧サーバーのホームページを更新する仕組みに、ログインしなくても使える設定のまま残っていた機能があったことです。大学は、ここから不正なプログラムが置かれたと考えています。2つ目はサーバーのOSがサポートの終わったもので、修正されていない脆弱性を使われたことです。3つ目は使い終えた古いプログラムとデータをサーバーに残したままにしていたことで、これが影響を広げる要因になりました。

大学の対応

大学はサーバーを切り離して攻撃元からの通信を遮断し、ホームページはプログラムが動かない形で別のサーバーから公開しています。旧サーバーにあったパスワードなどのうち、今も使っているものは変更しています。大学のメールなどのアカウントに、今回の侵入者による不正なログインの記録がないことも確かめました。外部の専門業者による調査はこれから行います。

再発防止として、次の4つを挙げています。

• 使い終えたプログラムとデータの削除と、公開しているサーバーの定期的な点検
• サポートの終わったOSなどの更新または廃止
• サーバーから外部への通信の制限と、通信の記録の保存、監視の強化
• 情報セキュリティの管理体制と、事故が起きたときの手順の見直し

メールアドレスが分かる人には11月11日以降に順次メールで連絡し、連絡先が分からない人には公表をもって連絡に代えるとしています。大学を名乗る不審なメールや電話に注意するよう呼びかけ、大学がメールや電話でパスワード、カード番号、銀行口座の情報、お金の支払いを尋ねることはないとしています。問い合わせの窓口は大学、短期大学、高校、専門学校、校友会に共通の専用フォームです。

中小企業が学べること

今回の対象は主に9年以上前に受け付けた情報でした。フォームの受付が済んでも、公開しているサーバーにデータが残っていれば、侵入されたときに対象になります。自社のホームページでも、過去のキャンペーンや資料請求のフォームの受付データ、使わなくなったプログラムがサーバーに残っていないかを、制作会社や保守の会社と一緒に確かめておくと、侵入されたときに対象になる範囲を小さくできます。

ログインせずに使える管理の機能や、サポートの終わったOSも、長く動いているサーバーで見落とされやすいところです。サーバーのOSと、それぞれのサポートが終わる時期を一覧にしておけば、更新するか止めるかを前もって決められます。サーバーの権限設定の不備から漏えいした例として、東急不動産の事業サイトに不正アクセス、4,082件流出の可能性もあります。