横須賀学院へのランサムウェア攻撃（写真・動画等が流出、Rhysidaが窃取データを販売・公開と主張）
公表日
学校法人横須賀学院が2025年12月17日、サーバーへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。とランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の痕跡があり、写真・動画など複数のファイルが外部に流出したと公表しました。流出の点数や内容は、まだ公表されていません。
対象者は？
学院が公表したのは、サーバー内に保存されていた複数の写真・動画等のファイルの流出です。点数や内容、個人が特定され得る情報が含まれるかは、まだ公表されていません。Rhysidaを名乗るグループが奨学金関係書類や生徒名簿などを公開したとの報道もありますが、学院から漏洩したものかは確定していません。
学院からの案内や、在籍・関係していた方への個別連絡があるかを確認してください。個別連絡の有無や対象範囲は、まだ発表されていません。
いますぐできること
- 学院からのお知らせや連絡が届いていないか確認する。
- 学院や関係先をかたる不審なメール、電話、SNSのメッセージに注意し、リンクや添付ファイルを安易に開かない。
- 不審な連絡を受けたら、返信せずに学院の正規の窓口へ確認する。
何が起きたのか
2025年12月初旬、学院の職員から「サーバーに接続できない」との報告があり、調べたところ、外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。と、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。が実行された痕跡が見つかりました。サーバー内にあった複数の写真・動画等のファイルが外部に流出したことも分かり、学院は12月17日に公表しました。これより前の12月15日には、Rhysidaを名乗るグループがデータを6BTC（約1340万円と報じられた額）で売ると主張していると報じられ、12月23日前後には、盗んだとする情報を公開したとされています。
なぜ起きたのか・なぜ広がったのか
侵入口や原因は、まだ公表されていません。学院は専門機関と連携して調査を進めています。
いまの状況2025-12-24 時点続報待ち
学院は専門機関と連携して原因と被害範囲を調べ、インターネット回線を遮断して復旧と被害拡大防止に取り組んでいます。攻撃者が公開した情報が学院のものかは確定しておらず、流出件数、業務への影響の範囲、補償や再発防止策は、まだ発表されていません。
企業として考えたいこと
あなたの会社で「サーバーにつながらない」という報告があったとき、故障と攻撃を見分けて、誰がどんな順番で対応するか決まっていますか。
技術的な要約
学校法人横須賀学院（神奈川県横須賀市）は2025年12月17日、サーバーが外部から不正アクセスを受け、不正プログラム（ランサムウェア）が実行された痕跡があり、複数の写真・動画等のファイルが外部に流出したと公表した。12月初旬に職員から「サーバーに接続できない」との報告があり、調査で判明したという。学院は専門機関と連携してインターネット回線を遮断し、原因・被害範囲の調査と復旧を進めている。Rhysidaを名乗るグループが同学院のデータを6BTCで販売するとして、サンプル画像を公開し、12月23日前後には窃取したとする情報を公開した。ただし公開情報が実際に同学院から漏洩したものかは不明とされ、流出件数や侵入口も公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明不明。学院は「外部からの不正アクセス」と公表しているが、侵入口や脆弱性は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- Rhysida 被害組織の言及なしRhysidaを名乗るグループが、同学院の内部データを窃取したと主張。6BTCでの販売・7日間の入札期間を掲げ、要求が満たされなければ6〜7日以内に公開するとし、12月23日前後に窃取したとする情報を公開した。
- ATT&CK
影響
- 業務停止
- なし 職員がサーバーに接続できない状態となり、学院はインターネット回線を遮断して復旧作業を続けていると説明。中核業務の停止範囲・日数は公表されていない。
- データ
- 確定上限 —確定 —その他学院はサーバー内の複数の写真・動画等のファイルの流出を公表。点数・内容・個人が特定され得る情報の有無は未公表。攻撃者公開分には奨学金関係書類、住民票、身分証コピー、申請書と思われる画像（攻撃者のサンプル）や、部活関連の生徒名簿・保護者個人情報、テスト情報、動画・音声、進路情報が含まれるとの報道があるが、同学院からの漏洩かは確定していない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2025-12
- 2025-12-15Botcrawlが、Rhysida系の攻撃者が横須賀学院のデータをオークション形式で提示（6BTC、6〜7日以内に公開と主張）と報道。学院は報道時点で侵害を公に認めていない。1
- 2025-12-17
- 2025-12-17
- 2025-12-17Rhysidaが同日頃から横須賀学院へのサイバー攻撃を主張していたとされる。3
- 2025-12-18セキュリティ対策Labが、Rhysidaを名乗るグループがダークウェブで奨学金関係書類・住民票・身分証コピー等の画像をサンプル公開し、「7日間の入札期間」「6BTC（1340万円）で販売」と記載していると報道。同学院からの漏洩かは確定していないとされる。2
- 2025-12-19ScanNetSecurityが、ランサムウェア攻撃で複数の写真や動画等の流出が判明したと報道。5
- 2025-12-23Rhysidaが、横須賀学院から窃取したとする情報を公開（12月23日前後）。3
- 2025-12-24セキュリティ対策Labが、公開情報に部活関連の生徒名簿・保護者個人情報、テスト情報、課外活動の動画・音声、進路情報等が含まれていたと報道。実際に同学院から漏洩したものかは不明とし、フィッシング等への悪用に注意を呼びかけ。3
技術解説
学院が公表した内容と経緯 事実
学校法人横須賀学院（神奈川県横須賀市）は2025年12月17日に公表した。12月初旬に学内の職員から「サーバーに接続できない」との報告があり、調査したところ、サーバー上で外部からの不正アクセスと不正プログラム（ランサムウェア）が実行された痕跡が確認された。調査の結果、サーバー内に保存されていた複数の写真・動画等のファイルが外部に流出したことが判明したと説明している。学院は専門機関と連携して原因と被害範囲を調査し、インターネット回線を遮断して復旧と被害拡大防止に取り組んでいる。具体的な点数や内容、個人が特定され得る情報の有無は、報道時点で公表されていない。
Rhysidaを名乗る側の主張と公開の動き 事実
Botcrawlは12月15日付で、Rhysida系の攻撃者が横須賀学院の内部データを窃取したと主張し、オークション形式で提示していると報じた。希望価格は6ビットコインで、要求が満たされなければ6〜7日以内に公開するとしている。セキュリティ対策Labは「7日間の入札期間」「6BTC（1340万円）で販売」との記載と、奨学金関係書類・住民票・身分証のコピー等とみられる画像のサンプル公開を報じた。12月23日前後には窃取したとする情報が公開された。Botcrawl報道時点で、学院は侵害を公に認めていないとされた。公開情報が実際に学院から漏洩したものかは不明とされている。
報じられた公開内容と、まだ分かっていないこと 事実
セキュリティ対策Labは、公開情報に複数年の特定の部活に関連する生徒の名簿と保護者個人情報、複数教科のテスト情報、特定年代・学年の指導に関する書類情報が含まれていたと報じた。特定年代・部活の写真、複数年代の課外活動の動画と音声、進路に関する情報も含まれていたという。サンプル画像のスクリーンショットには、氏名・住所・生年月日・顔写真・世帯収入などが含まれることが読み取れるとされた。ただし、いずれも同学院からの漏洩かは確定していない。侵入口や脆弱性、流出件数も公表されていない。
公表と主張の前後関係についての見方 解釈
出典の日付を並べると、攻撃者側の主張を伝える報道（12月15日）が、学院の公表（12月17日）より先に出ている。学院の公表は調査の途中段階のものとみられ、点数や内容といった詳細が未公表なのは、被害範囲の調査が続いているためと読める。一方で、攻撃者のサンプルが示す書類の種類は、学院が公表した「写真・動画等」より広い。両者が同一の流出を指すのかは、公開情報だけでは判断できない。事実が確定するまでは、攻撃者の主張と学院の公表内容を分けて扱うのが適切である。
教育機関で懸念される二次被害の構造 解釈
仮に報じられた内容が学院のものであれば、生徒や保護者、奨学金申請者など、多様な立場の人の情報が対象になり得る。その場合、フィッシングメール、ボイスフィッシング、SNSのDMなどへの悪用が懸念される。セキュリティ対策Labもこの点で注意を呼びかけている。教育機関は写真・動画・名簿・進路資料など多種のデータを長期間保管しがちで、保存場所が分散しやすい。そのため、被害範囲の特定に時間がかかる可能性がある。これは一般的な傾向に基づく見方であり、同学院の実態を示すものではない。
対応
- 封じ込め
- 専門機関と連携して原因と被害範囲を調査し、インターネット回線（接続）を遮断したうえで、システムの復旧と被害拡大防止に取り組んでいると説明。
- 公表の仕方
- 2025年12月17日に、不正アクセス・ランサムウェア実行の痕跡と写真・動画等の複数ファイルの流出を公表。具体的な点数・内容・個人が特定され得る情報の有無は公表時点で未公表。Rhysida関連の主張については、Botcrawl報道時点で学院は侵害を公に認めていないとされた。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 「サーバーに接続できない」という現場の報告が、ランサムウェアの最初の兆候になり得る | 障害報告を受けたら、故障とセキュリティ事案の両面で一次切り分けを行う手順を作る。ファイルサーバーの大量リネーム・拡張子変更や、不審な暗号化の挙動を検知するEDRのルールを有効化し、通知先を情報システム担当と責任者の双方にする。 |
| 写真・動画・名簿・進路資料など、保管データの所在と機微度を把握しておく | ファイルサーバーやクラウドのデータを棚卸しし、個人情報を含むものにラベルを付ける。保存期間を決めて期限切れのデータを削除・アーカイブする。部活・学年など単位別にアクセス権を最小化し、共有フォルダの権限を定期的に見直す。 |
| 暗号化されても復旧できるバックアップと、回線遮断を含む初動手順を備える | 本番環境と切り離したオフライン、または変更不能（イミュータブル）なバックアップを取り、復元手順を定期的に演習する。ネットワーク分離・インターネット回線遮断の判断者と手順を事前に文書化し、専門機関への連絡先も準備する。 |
| 外部で攻撃者の主張が先に出回る場合に備え、公表判断と連絡の準備をしておく | 自組織名やドメインがリークサイトや報道に出ていないかを監視するサービス・手順を用意する。事実確認が終わる前でも出せる暫定告知のテンプレートと、保護者・関係者向けの連絡経路を事前に決めておく。 |
自組織などでの確認項目
- 自組織のサーバーが突然使えなくなったと現場から報告があった場合、誰が、どの順序で、故障かインシデントかを切り分けますか。連絡先と手順は文書になっていますか。
- 自組織のファイルサーバーやクラウドに、写真・動画・名簿・申請書類などの個人情報がどこに、どれだけ保存されているか把握できていますか。不要になったデータの削除ルールはありますか。
- ランサムウェアで主要サーバーが暗号化された場合、オフラインのバックアップから何日で復旧できますか。最後に復元を試したのはいつですか。
- 自組織の名前が先にダークウェブや報道で取り上げられた場合、事実確認が終わる前に、関係者へどのような暫定連絡を出せますか。
未解明点
- 侵入口（外部からの不正アクセスの経路）や脆弱性の有無は公表されていない。
- 流出した写真・動画等の点数・内容、個人が特定され得る情報（生徒・保護者・奨学金関係者など）が含まれるかは未公表である。
- 攻撃者が公開した情報（名簿、書類、テスト情報など）が実際に学院から漏洩したものかは、確定していない。
- 業務への影響範囲と復旧時期、影響を受けた人への個別連絡や再発防止策は、確認できる出典の範囲では公表されていない。
出典
- 1Botcrawl2025-12-15報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-18報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-24報道本文確認済
- 4セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-18報道本文確認済
- 5ScanNetSecurity2025-12-19報道本文確認済