帝塚山学院大学の大学院向け公開Webシステムへの不正アクセス（約450名の氏名・メールアドレス漏えいの可能性）
公表日
帝塚山学院大学の大学院向けWebシステムに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、氏名とメールアドレス約450名分が漏れた可能性があると発表されました。
対象者は？
大学院 臨床心理学専攻（専門職学位課程）の在学生・修了生向けWebシステムに登録されていた、最大約450名。想定されている項目は氏名とメールアドレスです。それ以外の情報が含まれるとは、参照した報道には書かれていません。
確認方法はまだ発表されていません。大学からの案内をご確認ください。
いますぐできること
- 対象に当たる可能性がある方は、大学からの案内がないか確認する。
- 心当たりのないメールや、不審なリンク・添付ファイルには注意する。
何が起きたのか
大学の発表によると、2025年8月2日に、大学院 臨床心理学専攻の在学生・修了生向けWebシステムへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が発生しました。2025年9月2日に外部の専門機関から大学へ疑いが知らされ、大学はすぐにシステムを止めて調べました。その結果、サーバの中に不正なファイルが見つかりました。登録されていた氏名とメールアドレスが漏れた可能性があり、対象は約450名です。
なぜ起きたのか・なぜ広がったのか
侵入された経路は特定済みと大学は説明していますが、具体的な内容はまだ発表されていません。なお、漏れたことが確認された人数は示されていません。
いまの状況2025-09-18 時点続報待ち
2025年9月18日時点で、大学は、侵入経路と不正操作の範囲は特定済みで、新たな不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。は確認されていないと説明しています。補償、システムの再開時期、再発防止策については、まだ発表されていません。
企業として考えたいこと
自社が公開しているWebシステムのうち、一部の人だけが使う小さなものも含めて、外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の疑いを知らされたとき、すぐに止めて調べる体制は整っていますか。
技術的な要約
2025年9月2日、帝塚山学院大学は、同大学が運用する公開WEBシステムへの不正アクセスの疑いが外部専門機関から通知されたと発表した。対象は大学院 臨床心理学専攻（専門職学位課程）の在学生・修了生向けWEBシステムで、不正アクセスは2025年8月2日に発生した。通知を受けて直ちにシステムを停止して調査し、サーバ内に不正ファイルを確認した。登録されていた一部の個人情報（想定項目は氏名とメールアドレス）が漏洩した可能性があり、対象は約450名である。侵入経路と不正操作の範囲は特定済みで、現時点で新たな不正アクセスは確認されていないという。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明大学は「侵入経路と不正操作の範囲は特定済み」としているが、具体的な経路は参照できた情報に記載がない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 外部専門機関からの通知を受けて当該システムを直ちに停止した。
- データ
- おそれ上限 450確定 —人氏名メール対象人数は約450名。同システムではメールアドレスをログインIDとして利用していた。漏洩の可能性であり、確定ではない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
公表された事案の概要 事実
帝塚山学院大学は2025年9月2日、同大学が運用する公開WEBシステムに対する不正アクセスの疑いが外部専門機関から通知されたと発表した。対象は大学院 臨床心理学専攻（専門職学位課程）在学生・修了生向けWEBシステムで、不正アクセスは2025年8月2日に発生したとされる。通知を受けて直ちに当該システムを停止して調査した結果、サーバ内に不正ファイルを確認した。侵入経路と不正操作の範囲は特定済みで、現時点で新たな不正アクセスは確認されていないという。以上は報道2件が伝える内容である。
漏洩の可能性がある情報と人数 事実
当該システムに登録されていた一部の個人情報が漏洩した可能性があり、想定される項目は氏名とメールアドレスである。対象人数は約450名で、同システムではメールアドレスをユーザー認証（ログインID）として利用していた。ScanNetSecurityも見出しで、約450名の利用者情報が漏えいした可能性があると伝えている。いずれも「可能性」としての数字であり、実際に流出が確認された件数は、参照した出典には示されていない。
侵入から把握までの間隔と公表内容の読み方 解釈
公表されている日付は、不正アクセスの発生が2025年8月2日、外部専門機関からの通知と大学の発表が9月2日である。この並びからは、発生から把握まで約1か月あったように読める。ただしScanNetSecurityの記事は、8月2日の不正アクセスの可能性について外部から連絡があったと書いており、通知日の理解が出典間で揃っていない。大学の一次発表を確認できていないため、通知日は断定せず、今後の確認事項として扱うのが妥当である。
公表の特徴と評価できる点・不明な点 解釈
大学は、システム停止、不正ファイルの確認、侵入経路と範囲の特定、新たな不正アクセスが確認されていないことを併せて説明しており、対象システム・想定項目・人数も示している。利用者が自分に関係するかを判断しやすい公表と読める。一方、侵入経路の具体的内容、悪用された脆弱性の有無、不正ファイルの種類、本人への連絡方法、個人情報保護委員会への報告の有無などは参照した出典に見当たらない。これは公表が不十分という意味ではなく、情報が限られているという意味である。
対応
- 封じ込め
- 外部専門機関からの通知後、直ちに当該システムを停止して調査した。侵入経路と不正操作の範囲は特定済みで、現時点で新たな不正アクセスは確認されていない。
- 公表の仕方
- 2025年9月2日に大学が発表し、不正ファイルの確認、対象システム、約450名の氏名・メールアドレス漏洩の可能性を公表した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 公開Webシステムは外部から到達できるため、小規模な学内システムでも侵入の入口になり得る。 | 公開しているWebシステムを資産台帳で一覧化し、OS・ミドルウェア・CMS・プラグインのバージョンを定期的に棚卸しして、修正パッチの適用期限を運用ルールに定める。 |
| サーバ内に不正ファイルが置かれても、利用者側からは気付きにくい。 | Webルート配下のファイル改ざん検知（整合性監視）を導入し、新規ファイルの作成をアラート化する。実行可能ファイルのアップロード先は実行権限を外す。 |
| 発生から外部通知まで時間が空くと、被害範囲の把握が遅れる。 | Webサーバのアクセスログ・認証ログを集中管理して十分な期間保管し、不審な通信を自組織で検知できる監視ルールとアラート通知を設ける。 |
| メールアドレスをログインIDにしていると、漏洩時に標的型メールなどへ悪用される余地がある。 | 保有する個人情報の項目を最小限にし、不要になった在学生・修了生のアカウントとデータを保存期間に基づき削除する。多要素認証の導入も検討する。 |
| 通知を受けて直ちにシステムを停止する判断は、被害拡大の防止につながる。 | 外部通知を受けた際の停止基準・連絡先・判断権限をインシデント対応手順書に明記し、年1回は停止から復旧までの机上訓練を行う。 |
自組織などでの確認項目
- 自組織の公開Webシステム（学生・会員・顧客向けの小規模なものを含む）は、すべて台帳に載っており、担当者とパッチ適用状況を説明できますか。
- 外部機関から不正アクセスの疑いを知らされたとき、誰が何時間以内にシステム停止を判断し、誰に連絡するか決まっていますか。
- 公開システムに保存している個人情報のうち、現在の業務に不要な項目や、すでに利用が終わった人のデータは残っていませんか。
未解明点
- 侵入経路の具体的内容（悪用された脆弱性や認証情報の有無）は、大学から公表されるのか。
- 外部専門機関から大学への通知が行われた日はいつか。報道間で記述が異なるため、大学の一次発表での確認が必要である。
- 氏名とメールアドレスが実際に流出したかどうかの調査結果と、確定した件数はどうなったのか。
- 対象者への個別連絡の方法や問い合わせ窓口、再発防止策、システムの再開時期は発表されるのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-09-04報道本文確認済
- 2ScanNetSecurity2025-09-18報道本文確認済