中央大学 教員用メールサーバへの不正アクセス（教員2名のアカウント不正利用、最大692名・390名分の差出人情報が流出のおそれ）
公表日
中央大学の教員用メールサーバで教員2名のアカウントが不正に使われ、その教員にメールを送った人の差出人情報が、最大で692名分と390名分取得された可能性があります（流出の確認件数は公表されていません）。
対象者は？
教員2名のどちらかにメールを送った人で、最大で教員Aが692名、教員Bが390名です。取得された可能性があるのは、差出人のメールアドレスと、記載がある場合の氏名や表示名です。大学は、全教員とやり取りした人が対象になるものではないと説明しています。
対象の可能性がある方には、大学の情報管理部・情報環境整備センターから個別にメールで連絡があります。
いますぐできること
- 大学からの個別メールが届いていないか確認する。
- 教員名や大学名を名乗るメールが届いたら、送信元を確かめてから対応する。
- 過去のやり取りを装った返信型（Re:）のメールに注意し、不審なら開かない。
何が起きたのか
中央大学の教員用メールサーバで、専任教員2名のアカウントが不正に使われました。そのため、サーバに保存されていたメールの見出し情報（インデックス）が第三者に取得された可能性があります。対象の期間は、教員Aが2025年7月19日23:09まで、教員Bが同7月23日04:58までに送られたメールです。大学は2025年9月19日にお詫びとお知らせを公表しました。
なぜ起きたのか・なぜ広がったのか
アカウントの不正使用が契機とされていますが、侵入経路や具体的な手口は公表されていません。影響を受けるのは教員にメールを送った人で、大学の外の人も含まれる可能性があります。差出人情報は標的型攻撃メールに使われる恐れがあるとして、大学は注意を呼びかけています。
いまの状況2025-10-01 時点続報待ち
大学は対象の可能性がある人へ個別にメールで連絡し、再発防止のためセキュリティ対策を一層強化するとしています。流出が実際に確認された件数、検知した日、止めた方法などは、まだ発表されていません。
企業として考えたいこと
自社の従業員のメールアカウントが1つ不正に使われた場合、誰とのやり取りの情報が見られたかを調べて、関係者へ知らせる手順は整っているでしょうか。
技術的な要約
中央大学は2025年9月19日、教員用メールサーバ（tamacc.chuo-u.ac.jp）で専任教員2名のアカウントが不正に使用され、その時点でサーバに保存されていたメールのインデックス情報が第三者に取得された可能性があると公表した。取得された可能性があるのは、教員宛にメールを送信した人の差出人メールアドレスと、記載がある場合の氏名／表示名である。最大流出件数は教員Aが692名（2025年7月19日23:09 JSTまでに送信されたメール）、教員Bが390名（同7月23日04:58 JSTまでに送信されたメール）で、影響は2名の教員に限定され全教員とのやり取りが対象ではない。侵入経路や具体的な攻撃手口は公表されておらず、アカウント資格情報の不正利用が契機とされる。大学は対象となる可能性がある人へ個別にメールで通知し、標的型攻撃メールへの注意を呼びかけ、セキュリティ対策を一層強化するとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用報道・研究者公式は「ある専任教員のアカウントが不正に使用され」と説明。報道は「侵入経路や具体的な攻撃手口は公表されていませんが、アカウント資格情報の不正利用が契機となった事案」としている。資格情報の入手方法は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止に関する公表はない。
- データ
- おそれ上限 1,082確定 —人メール氏名最大流出件数は教員Aが692名、教員Bが390名。1082は692+390の単純合算で、重複の有無は公表されていない。取得された可能性があるのはメールインデックス上の差出人メールアドレスと、記載がある場合の氏名／表示名。影響は2名の教員に限定され、全教員とのやり取りが対象になるものではない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2024-04-02情報環境整備センターが、教員用メール(tamacc)に本学を狙ったフィッシングメールが大量に送信されていることを確認と公表し、緊急対策としてActive!Mailのアクセス制限を告知。今回の事案との関係は公表されていない。3
- 2024-04-08 10:00Active!Mailへのログインを学内ネットワークからのみに制限する措置の開始日時（学外からはSSL-VPN経由のみ）。3
- 2025-07教員用メールサーバで専任教員2名のアカウントが不正に使用された。侵入日は公表されておらず、対象メールの期間の終点から7月頃と推定。4
- 2025-07-19 23:09
- 2025-07-23 04:58
- 2025-09-19
- 2025-09-26セキュリティ対策Labが、教員用メールサーバへの不正アクセスと標的型メールへの注意を報じた。1
- 2025-10-01ScanNetSecurityが、教員用メールサーバへの不正アクセスを報じた。2
技術解説
公表された事案の構造 事実
中央大学は2025年9月19日、教員用メールサーバ（tamacc.chuo-u.ac.jp）で専任教員2名のアカウントが不正に使用され、その時点でサーバに保存されていたメールのインデックス情報が第三者に取得された可能性があると公表した。取得された可能性があるのは、当該教員にメールを送信した人の差出人メールアドレスと、差出人として記載がある場合の氏名または表示名である。最大流出件数は教員Aが692名（2025年7月19日23:09 JSTまでに送信されたメール）、教員Bが390名（同7月23日04:58 JSTまでに送信されたメール）とされる。侵入経路や具体的な攻撃手口は公表されておらず、報道はアカウント資格情報の不正利用が契機となった事案としている。
影響範囲と二次被害への注意喚起 事実
大学は、この件は限られた2名の教員に影響があったもので、全教員とメールのやりとりをした人に影響が及ぶものではないと説明している。692名と390名はいずれも最大流出件数であり、流出が確認された件数ではない。影響を受ける可能性のある人には、情報管理部・情報環境整備センターから個別にメールで連絡するとしている。また、差出人情報が標的型攻撃メールに利用される恐れがあるとして、教員名や大学名を騙る偽メールや、過去の件名ややり取りを装った返信型（Re:）の不審メールに注意するよう呼びかけている。再発防止のため、セキュリティ対策を一層強化するとしている。
2024年4月のメールアクセス制限告知 事実
情報環境整備センターは2024年4月2日、教員用メール(tamacc)に、明らかに本学を狙ったフィッシングメールが大量に送信されていることを確認していると公表した。利用者のセキュリティと個人情報の保護を最優先に、緊急対策としてActive!Mailへのログインを制限するとした。ログインは学内ネットワークからのみ可能で、学外からはVPN経由（中央大学SSL-VPN）のみ接続できる。制限の開始日時は2024年4月8日（月）午前10:00とされた。制限の詳細は、Active!Mailログイン後の「管理者からのお知らせ」に掲載されている。以上は、この2024年の告知に書かれている内容である。
読み取れること：限定的でも波及しうる情報 解釈
本件で取得された可能性があるのは差出人情報に限られ、影響は2名の教員に限定されると説明されている。ただし、差出人情報は「誰が誰と連絡しているか」を示すため、標的型メールの宛先選びや、やり取りを装った返信型メールに使われやすいと考えられる。教員の連絡先は学生・卒業生・学外の研究者や事業者など多様な人に及ぶ可能性があり、影響を受ける人が大学の外にも広がる構造だと読める。2024年の告知と今回の事案の関係は公表されていないため、結びつけて判断することはできない。侵入手口や検知経緯が示されていないので、評価は限定的にならざるを得ない。
対応
- 封じ込め
- 大学は再発防止のためセキュリティ対策を一層強化するとしている。具体的な遮断措置や不正アクセスの停止方法は公表されていない。
- 公表の仕方
- 2025年9月19日に情報管理部・情報環境整備センターが公式サイトでお詫びとお知らせを公表。対象となる可能性がある人には個別にメールで連絡し、差出人情報が標的型攻撃メールに利用されるおそれがあるとして、教員名や大学名を騙る偽メール、過去のやり取りを装った返信型（Re:）の不審メールへの注意を呼びかけた。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| メールアカウントの資格情報が使われると、サーバに保存された情報の見出しだけでも外部に渡りうる。 | メールサーバへのログインに多要素認証を必須化する。レガシー認証（IMAP/POP/基本認証）は無効化するか、接続元IPを制限する。 |
| 不正使用の発見が遅れると、取得対象の期間が長くなる。 | ログイン成功ログを集約し、未知の接続元IPや国、通常と異なる時間帯、短時間の大量アクセスを検知してアラートを出す。インデックスやメールボックスの一括参照も監視対象にする。 |
| 差出人情報は、本文が流出しなくても標的型攻撃に使われうる。 | SPF・DKIM・DMARCを設定して強制ポリシーに移行し、外部メールに警告バナーを付ける。返信型の不審メールの見分け方を定期的に周知する。 |
| 影響を受ける人は学外にも広がるため、通知と注意喚起の範囲設計が重要になる。 | アカウント別の取得対象期間と連絡先を事前に整理できるよう、メールログとメールボックスのメタデータ保全手順を整える。通知用のテンプレートと送信手順を用意しておく。 |
| 2024年に実施されたような接続元制限は有効な層になるが、単独では十分とは言えない。 | 接続元制限（VPN経由のみ）に加え、パスワードの使い回しチェック、漏えい済み資格情報との照合、不審ログイン後の自動セッション失効を組み合わせる。 |
自組織などでの確認項目
- 自組織のメールサービスで、多要素認証が全利用者に必須になっているか。例外アカウントや旧方式の認証は残っていないか。
- ある従業員のメールアカウントが不正に使われた場合、いつからいつまでの何の情報が見られたかを、自組織のログで特定できるか。
- 差出人情報の流出後に届く可能性がある偽メールについて、取引先や学外関係者へ通知する窓口と手順が決まっているか。
未解明点
- 資格情報はどのように入手されたのか（フィッシング、使い回し、その他）。公表されていない。
- 不正使用がいつ始まり、いつ検知され、どのように止められたのか。具体的な遮断措置は公表されていない。
- 2024年4月のフィッシング告知やアクセス制限と、今回の事案との関係はあるのか。公表されていない。
- 教員Aと教員Bの対象者に重複があるか、また実際に流出が確認された件数はいくつか。まだ発表されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-09-26報道本文確認済
- 2ScanNetSecurity2025-10-01報道本文確認済
- 3中央大学 情報環境整備センター(多摩ITセンター)2024-04-02公式本文確認済
- 4中央大学情報管理部・情報環境整備センター2025-09-19公式本文確認済