Edv Future「Edv Path」へのランサムウェア攻撃（複数の道府県・市の学校で生徒・教職員の個人情報が漏えいのおそれ）
公表日
教育支援サービス「Edv Path」を提供するEdv Future株式会社のデータベースが、2025年12月2日未明に外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。（ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の関与が疑われる）を受けました。北海道、茨城、石川、長野、群馬、徳島、大阪市の学校で、生徒・教職員の個人情報が漏れたおそれがあります。
対象者は？
Edv Pathを利用していた学校の児童生徒・教職員です。公表された情報の種類は、氏名、性別、学校で使うアカウント情報（メールアドレスやID）、Edv Pathの回答データ、利用履歴の一部ログ（接続日時等）です。住所や電話番号などは、公表された情報の種類に挙げられていません。全体の人数はまだ発表されていません。
在籍する学校や教育委員会から配られた保護者向けの文書や連絡を確認してください。追加で分かったことがあれば、学校が生徒や保護者に説明するとしている自治体もあります。
いますぐできること
- 学校や教育委員会からの案内（保護者向け文書やメール）を確認する。
- 身に覚えのないメールやメッセージが届いたら、すぐに開かず、学校に相談する。
何が起きたのか
2025年12月2日未明、Edv Future株式会社が使うデータベースに外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、身代金目的のウイルス（ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。）が関わったと疑われる痕跡が見つかりました。同社は同日以降、学校へ順次連絡し、12月4日に発表しました。12月5日には、登録データが外部に持ち出された可能性があると学校へ伝えました。その後、北海道、大阪市、長野県、群馬県、茨城県、徳島県、石川県などが、各地の学校への影響を発表しました。データの一部が消えた可能性も示されています。
なぜ起きたのか・なぜ広がったのか
侵入の方法や悪用された弱点は、確認できた資料にはまだ発表されていません。複数の自治体の学校が同じ事業者のサービスを使っていたため、影響が各地に広がりました。
いまの状況2026-01-21 時点続報待ち
システムは利用に必要な範囲で復旧し、通常どおり使える状態に戻ったと、同社は説明しています。各発表の時点では、情報が不正に使われた事実や二次被害は確認されていないとされています。Edv Future社は12月29日に調査結果を発表しました。攻撃者や侵入経路、全体の人数は、確認できた資料ではまだ発表されていません。
企業として考えたいこと
自社が使っている外部サービスで、顧客や従業員の情報はどこにどれだけ預けられていて、そのサービスが止まったり情報が漏れたりしたとき、誰がどのように本人へ知らせますか。
技術的な要約
2025年12月2日未明、Edv Future株式会社が提供する非認知能力可視化・育成支援サービス「Edv Path」の本番データベース環境および一部関連システムに外部から不正アクセスがあり、ランサムウェアの関与が疑われる痕跡が確認された。氏名、性別、学校利用アカウント情報（メールアドレス、ID等）、回答データ、利用履歴の一部ログ情報（接続日時等）が外部へ持ち出された可能性があり、データの一部が消去された可能性も示された。影響は北海道（28校・少なくとも約2千人）、茨城、石川、長野、群馬、徳島、大阪市など各地の学校に及び、各教育委員会等が公表している。現時点で不正利用や二次被害は確認されていないとされる。同社はシステムを復旧済みとし、外部専門機関と調査を進め、2025年12月29日に調査結果を発表した。
攻撃の分類
- 侵入口
- 不明公表資料では「Edv Futureが利用するデータベース環境に対する外部からの不正アクセス」とされ、侵入経路の具体的な記載はない。
- 脆弱性
- CVE 非公表不明悪用された脆弱性や製品名は、提示された出典では公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし データが消去された可能性が示された。Edv Future社は、システムは利用に必要な範囲で復旧し通常どおり利用可能な状態に戻ったと説明している。石川県の大聖寺高校はアプリの利用を中止した。
- データ
- おそれ上限 —確定 —人氏名メール会員IDその他全体の総数は出典に示されていない。公表された学校・自治体別の件数は次のとおり。北海道：28校・少なくとも約2千人（児童生徒）。茨城県：5校で生徒3,338名・教員201名（登録者数の合算）。石川県大聖寺高：生徒453人、転校生・退学者を含め計464アカウント。長野県：1校274名。群馬県：2校256名。徳島県川島高：氏名データ119名分。大阪市：8校で1,101名（児童生徒992名、教職員109名）。「その他」の内訳は、性別、Edv Path回答データ（心理状況を把握するための回答を含む）、利用履歴の一部ログ情報（接続日時等）。不正利用の事実は確認されていないとされる。
- 波及先
- 7 自治体
- 北海道教育委員会（道内28校）
- 茨城県（県立学校5校）
- 石川県（大聖寺高校）
- 長野県（県立高校1校）
- 群馬県（尾瀬高校・大泉高校）
- 徳島県（川島高校）
- 大阪市（大阪市非認知能力調査の試験実施事業参加校等）
- 金銭影響
- —
- サプライチェーン
- 教育サービス提供事業者であるEdv Future社のデータベースが侵害され、同サービスを利用する各地の県立学校・市立学校の生徒・教職員の情報に影響が及んだ。
時系列
- 2025-12-02
- 2025-12-03Edv Future社から石川県の大聖寺高校へ連絡があり、同校が県教育委員会へ報告した。2
- 2025-12-04
- 2025-12-05
- 2025-12-08
- 2025-12-09Edv Future社が個人情報取扱いに関する報告とお詫びを公表した（警察署・個人情報保護委員会との連携、システム復旧を記載）。8
- 2025-12-10
- 2025-12-12群馬県が、尾瀬高校・大泉高校の生徒及び教職員256名の個人情報が持ち出されたおそれがあると発表した。11
- 2025-12-15茨城県教育庁が、県立学校5校への影響を資料提供で公表した。1
- 2025-12-17徳島県が、県立川島高校の氏名データ119名分が漏えいした可能性があると発表した。5
- 2025-12-29Edv Future社が、12月4日に公表した不正アクセスについて調査結果を発表した。6
技術解説
公表された攻撃の内容と情報の種類 事実
Edv Future株式会社は、2025年12月2日未明に「Edv Path」が利用するデータベースへ外部から不正アクセスがあり、ランサムウェアが関与したと疑われる痕跡を確認したと公表した。影響範囲は本番データベース環境と一部関連システムで、データの一部が消去された可能性も示された。外部へ持ち出された可能性を完全には否定できないとされた情報は、氏名、性別、学校利用アカウント情報（メールアドレス、ID等）、Edv Path回答データ、利用履歴の一部ログ情報（接続日時等）である。長野県の発表では、回答データに自己肯定感や社会性など心理状況を把握するためのものが含まれる。各発表の時点で、不正利用の事実や二次被害は確認されていないとされた。侵入経路や悪用された脆弱性は、提示された出典には記載がない。
学校・自治体ごとに公表された影響範囲 事実
影響は複数の自治体の学校に及び、各教育委員会等が個別に公表した。北海道は道内28校で少なくとも約2千人の児童生徒の個人情報が漏えいした疑いとした。茨城県は県立学校5校で、Edv Pathの登録者数として生徒3,338名・教員201名（卒業生を含む学校あり）を示した。石川県の大聖寺高校は生徒453人、転校生・退学者を含め計464アカウント。長野県は1校274名、群馬県は2校256名、徳島県は川島高校の氏名データ119名分、大阪市は8校で1,101名（児童生徒992名、教職員109名）である。いずれも「おそれ」「可能性」の段階の数字で、流出が確定した件数ではない。全体の総数は出典に示されていない。
公表の経過 事実
Edv Future社は12月2日に群馬県の該当高校へメール等で報告し、大阪市教育委員会事務局にも連絡があった。12月3日に石川県の大聖寺高校へ連絡があり、12月4日に同社が第1報を発表した。12月5日には、登録データが外部に持ち出された可能性があると長野県・徳島県の高校へ連絡し、大阪市教育委員会が14時に発表した。12月8日に北海道教育委員会が発表し、同社は保護者向けの報告とお詫びを出した。12月9日に同社が報告とお詫びを公表し、警察署・個人情報保護委員会との連携やシステム復旧を記載した。その後、長野県（12月10日）、群馬県（12月12日）、茨城県（12月15日）、徳島県（12月17日）が公表し、12月29日に同社が調査結果を発表した。
一事業者への集約が複数自治体に波及した構造 解釈
公表内容を見ると、複数の自治体の学校が同じ事業者のデータベースを利用しており、1か所への不正アクセスが各地の学校の情報に同時に影響した構造がうかがえる。導入形態も、学校が独自に契約した例（長野県の1校、大阪市の独自導入2校）や、事業の一環で利用した例（大阪市の試験実施事業）など様々だった。そのため、各自治体の公表時期や数字の定義（登録者数、アカウント数、氏名データ数など）が揃わず、利用者から全体像を把握しにくい面があったと考えられる。学校側が事業者の保有データの範囲を把握できていたかは出典から分からない。これは公表内容からの推測であり、各組織の対応の良否を評価するものではない。
数値の読み方と公表情報の限界 解釈
本件の数字は、北海道の「少なくとも約2千人」、茨城県の「登録者数」、群馬県の「おそれのある人数」など、上限や可能性の段階にある。流出が確定した件数は示されていないため、各自治体の数字を単純に合算して全体の被害規模とするのは適切でない。また、侵入経路、悪用された脆弱性、攻撃者の主張の有無は、提示された出典の範囲では公表されていない。12月29日の調査結果は発表の事実が確認できる一方、本稿が参照した情報では詳細な内容までは確認できない。今後、原因や再発防止策が明らかになれば、評価を見直す余地がある。
対応
- 封じ込め
- Edv Future社は自社セキュリティチームと外部セキュリティ専門機関と連携してフォレンジック調査およびシステム・運用体制の点検を実施し、システムを利用に必要な範囲で復旧して通常どおり利用できる状態に戻したと説明している。石川県の大聖寺高校はアプリの利用を中止し、石川県教育委員会は全県立学校へ注意喚起を行った。
- 公表の仕方
- Edv Future社が2025年12月4日に第1報を公表し、12月8日・9日に保護者・学校向けの報告とお詫びを出し、12月29日に調査結果を発表した。各教育委員会・自治体も独自に公表し、関係校が保護者・生徒へ説明文書等を配布した。
- 当局対応
- 所轄警察署（通報・連携）
- 個人情報保護委員会（報告・連携）
- 各県教育委員会（Edv Future社に再発防止策の徹底・原因究明を要請）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先・サービス事業者が保有する自組織のデータを把握しておく | 委託先台帳に、サービスごとの保有データ種別（氏名、回答データ、ログ等）、対象者区分、概算件数、保管場所を記載し、年1回以上更新する。契約・利用開始時に台帳登録をチェック項目にする。 |
| 心理状況に関わる回答データなど、扱いに配慮が要る教育データを必要以上に持たない | 卒業・退学・転校・年度終了後の保持期間を契約書と運用手順に明記し、期限到来時に削除または匿名化するバッチと、その実施証跡の報告を事業者に求める。 |
| データが消去される可能性を前提に、バックアップを本番と切り離す | 本番DBと別アカウント・別ネットワークにバックアップを置き、書き換え不可（イミュータブル）設定を有効にする。復元手順を定期的に訓練し、RTO/RPOを測定する。 |
| 事業者のインシデントが複数の利用組織へ同時に及ぶ前提で連絡網を整える | 事業者との契約に通知期限と連絡窓口を定め、自組織側にも保護者・本人向けの通知文テンプレートと、教育委員会など上位組織への報告フローを用意する。連絡訓練を年1回実施する。 |
| データベースへの管理アクセス経路を限定し、調査に必要なログを残す | 本番DBへの接続元を踏み台サーバや固定IPに限定し、管理者アクセスにはMFAを必須にする。DB監査ログと認証ログを改ざん困難な別基盤に保管し、保持期間を定める。侵入経路は本件では非公表のため、一般的な対策として実施する。 |
自組織などでの確認項目
- 自組織が利用している外部サービスのうち、従業員・顧客・生徒などの個人情報を保管しているものを一覧にできるか。保管データの種類と件数を把握しているか。
- 外部サービス事業者からインシデント連絡が入ったとき、誰が受け、何時間以内に誰へ報告し、本人へ何を伝えるか。その手順は文書化され、直近1年で訓練されているか。
- 利用を終えた人（卒業・退職・解約者）のデータが、外部サービス上にいつまで残るか。保持期間と削除の確認方法は決まっているか。
- 外部サービスの本番データが消去・暗号化された場合、自組織側に復元できるデータや、業務を続ける代替手段はあるか。
未解明点
- 侵入経路と、悪用された脆弱性・設定上の問題の有無（提示された出典では公表されていない）。
- 攻撃者の特定や犯行声明の有無、および事業者がそれを認めているか。
- データが実際に外部へ持ち出されたかどうかの確定結果と、データ消去の範囲。
- 被害を受けた学校・自治体の全体の件数（上限と確定）。
- 12月29日に発表された調査結果の詳細と、再発防止策の具体的内容。
- 本人への補償や、事業者・自治体が負担した費用の有無。
出典
- 1教育庁2025-12-15公式本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-08報道本文確認済
- 3ScanNetSecurity2025-12-19報道本文確認済
- 4ScanNetSecurity2025-12-25報道本文確認済
- 5ScanNetSecurity2026-01-06報道本文確認済
- 6ScanNetSecurity2026-01-21報道本文確認済
- 7大阪市教育委員会事務局 総合教育センター2025-12-05公式本文確認済
- 8Edv Future株式会社（北海道富良野高等学校掲載）2025-12-09公式本文確認済
- 9北海道新聞デジタル2025-12-08報道本文確認済
- 10Edv Future株式会社（北海道長万部高等学校ウェブサイト掲載、保護者様各位宛て）2025-12-08公式本文確認済
- 11群馬県（高校教育課）2025-12-12公式本文確認済
- 12長野県教育委員会2025-12-10公式本文確認済
- 13長野県2025-12-10公式本文確認済