東山中学・高等学校へのランサムウェア攻撃（職員用PC約100台が使用不能、個人情報漏えいのおそれ）
公表日
京都市の東山中学・高等学校が2025年10月20日にランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。によるサイバー攻撃を受け、職員約100人分のパソコンが使えなくなった。個人情報が漏れたかどうかは確定していない。
対象者は？
個人情報が漏れたおそれがあるとされているが、対象となる人の範囲・件数・情報の種類は報じられた範囲では示されていない。外部への流出が確認されたという発表もない。
学校は、流出の有無や対象が判明した場合に、関係者へ個別に連絡するか公表する方針と報じられている。現時点で自分が対象かどうかを確かめる方法は、報じられていない。
いますぐできること
- 学校からのお知らせや個別の連絡があれば、内容を確認する。
- 学校を名乗る不審なメールや電話には、すぐに応じず、学校の公式の連絡先で確かめる。
何が起きたのか
2025年10月20日の朝8時頃、出勤した職員が、教職員用のパソコンが操作できなくなっているのに気づいた。専門の業者が調べたところ、ウイルスへの感染が分かった。サーバーの中には脅迫の文書が残されていた。学校はすぐにネットワークを切り離し、京都府警察のサイバー対策本部に通報した。職員約100人分のパソコンが使えなくなり、事務の仕事に遅れが出た。ホームページの閲覧とメールの送受信も一時できなくなった。授業は通常どおり行われた。
なぜ起きたのか・なぜ広がったのか
侵入経路や原因は、まだ発表されていない。学校は、被害の範囲、侵入経路、影響を受けた情報の有無と内容を調べている。
いまの状況2025-10-31 時点続報待ち
2025年10月31日時点で、調査は続いている。学校は、代替のパソコンや紙を使った方法で事務の復旧を進めている。個人情報が外部に流出した事実は確定していないが、漏えいのおそれはあるとされる。対象の人数や情報の種類、復旧の完了時期、再発防止策は、まだ発表されていません。
企業として考えたいこと
自社の事務用パソコンが一斉に使えなくなった朝、中心となる業務を続けられるか、そして取引先や顧客へ何で連絡できるかを、すぐに答えられますか。
技術的な要約
2025年10月20日、京都市左京区の東山中学・高等学校がランサムウェアによるサイバー攻撃を受けた。同日午前8時頃、出勤した職員が教職員用端末を操作できないことに気づき、専門業者の調査でウイルス感染が判明した。サーバー内には脅迫文書が残されており、職員約100人分のパソコンが使用できなくなって事務業務に影響が出たが、授業は通常どおり実施された。個人情報が外部に流出した事実は確定していないが漏えいのおそれがあるとして、被害範囲や侵入経路、影響した情報の有無・内容を調査中である。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明侵入経路は調査中であり、公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 職員約100人分（約100台）のパソコンが起動・操作できず、事務業務・各種事務手続きに遅れが生じた。ホームページの閲覧とメールの送受信が一時できなくなった。授業は通常どおり実施。代替端末や紙運用などの暫定措置で事務機能の復旧を図っている。
- データ
- おそれ上限 —確定 —学校が保有する情報に不正アクセスがなされた可能性があり、個人情報漏えいのおそれがある。外部流出の事実は現時点で確定していない。対象の範囲・件数・種類は公表されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2025-10-20 08:00出勤した職員が教職員用端末を操作できない状態に気づく。専門業者に依頼して調査し、ウイルス感染が判明。1
- 2025-10-20サーバー内に脅迫文書が残されていることを確認。1
- 2025-10-20
- 2025-10-20
- 2025-10-20同校がランサムウェアによるサイバー攻撃を受けたと発表（第1報）。2
- 2025-10-20被害範囲・侵入経路・影響した情報の有無と内容の調査を進め、代替端末や紙運用などの暫定措置で事務機能の復旧を図る。2
- 2025-10-22
- 2025-10-23セキュリティ対策Labが、職員用PC約100台の使用不能と個人情報漏えいのおそれを報道。2
- 2025-10-27Innovatopiaが、ランサムウェア被害と個人情報流出のおそれを報道。1
- 2025-10-31
技術解説
発生と検知の経緯 事実
2025年10月20日の午前8時頃、出勤した職員が教職員用の端末を操作できない状態に気づいた。専門業者に依頼して調査したところ、ウイルス感染が判明した。サーバー内には脅迫文書が残されており、同校は事態を確認した後、直ちにネットワークを遮断した。そのうえで京都府警察サイバー対策本部に通報した。報道によれば、同校の情報システムがランサムウェアによるサイバー攻撃を受け、学校が保有する情報に不正なアクセスがなされた可能性がある。侵入経路、被害範囲、影響した情報の有無や内容については、同校が調査を進めていると伝えられている。
業務への影響と暫定対応 事実
報道では、職員約100人分のパソコン(別の報道では約100台)が起動・操作できなくなり、事務業務や各種事務手続きに遅れが生じたとされる。ホームページの閲覧とメールの送受信も一時できない状態になった。一方で授業は通常どおり実施されている。校内では代替端末や紙運用などの暫定措置を取りながら、事務機能の復旧を図っている。個人情報については、外部に流出した事実は現時点で確定していないが、漏えいの恐れも否定できないとして、影響の有無や範囲を確認している。流出の有無や対象が判明した場合は、関係者への個別連絡や公表を行う方針である。
公表と報道の状況、数値の扱い 事実
出典は報道4件で、学校の公式発表そのものは出典に含まれていない。同校がランサムウェアによる攻撃を受けたと発表した日は、報道により2025年10月20日とするものと10月22日とするものがある。本件では確定した日付として扱わず、両方を併記する。PCの被害規模は「職員約100人分」と「約100台」の2通りで報じられている。いずれも概数であり、確定した台数ではない。個人情報の件数、対象者の範囲、情報の種類は、報じられた範囲では示されておらず、漏えいは「おそれ」の段階にとどまる。2025年10月31日にはScanNetSecurityが本件を報じた。
手口の見立てと授業継続の読み方(解釈) 解釈
一部の報道は、脅迫文書が残されていたことから、データの暗号化と情報公開の脅しを組み合わせた「二重恐喝型」の手口が用いられたと考えられるとしている。ただしこれは編集部の見解であり、攻撃者の特定や要求内容は公表されていない。また、同じ報道は、約100台が使えなくなっても授業を通常どおり行えた点について、学習管理システムと業務システムが分離されていた可能性を示唆している。これも推測であり、同校がそう説明したわけではない。事務系の被害と授業の継続が両立したことは事実だが、その理由は公表されていない。侵入経路が不明な段階では、被害の広がり方について踏み込んだ評価はできない。
対応
- 封じ込め
- 事態確認後、直ちにネットワークを遮断し、京都府警察サイバー対策本部に通報した。専門業者に依頼して調査を行い、代替端末や紙運用などの暫定措置を取りながら事務機能の復旧を図っている。
- 公表の仕方
- 2025年10月20日に、情報システムがランサムウェアによるサイバー攻撃を受けたと発表した。流出の有無や対象が判明した場合は、関係者への個別連絡や公表を行う方針。
- 当局対応
- 京都府警察サイバー対策本部（通報）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 事務系端末が一斉に使えなくなると、授業が続いても学校の事務が止まる。 | 事務系と学習系のネットワークを分離し、事務系の復旧手順を事前に文書化する。代替端末の初期イメージとオフライン保管のバックアップを用意し、紙運用への切替訓練を年1回行う。 |
| 脅迫文書を確認した直後にネットワークを遮断し、警察へ通報した初動は、被害の拡大を抑えるうえで重要である。 | 遮断の判断者と連絡先を決めたインシデント対応手順を整備する。管理者がリモートでも実行できるよう、VLAN単位やスイッチ単位の隔離手順を用意する。警察や専門業者の連絡先を机上訓練で確認する。 |
| 侵入経路が分からないままでは、再発防止も被害範囲の確定も進まない。 | サーバー・端末・VPN機器などのログを90日以上、改ざんされにくい別系統に集約して保存する。EDRを導入し、フォレンジック調査で時系列を追えるようにする。 |
| 個人情報の漏えいは、確認できるまで「おそれ」として扱い、判明次第に連絡する姿勢が求められる。 | 保有する個人情報の台帳(種類・保管場所・件数)を整備し、被害時に影響範囲を絞り込めるようにする。保護者や教職員への連絡文面の雛形も用意しておく。 |
| ホームページとメールが一時止まると、保護者や関係者への連絡手段が失われる。 | 主系統とは別の連絡手段(外部のメール配信サービスや緊急連絡用の別ドメインなど)を確保する。障害時の告知場所を事前に決めて周知する。 |
自組織などでの確認項目
- 自組織で、事務系ネットワークと主要な業務・サービス系ネットワークは分離されていますか。事務系が使えなくなった場合に、中核業務を続けられるか確認できますか。
- 全端末が同時に使えなくなった日を想定して、代替端末の台数、紙運用の手順、連絡手段(メールが使えない場合を含む)を即座に示せますか。
- 個人情報を保管している場所と、その件数・種類を一覧で示せますか。漏えいのおそれが出たとき、何日以内に対象の範囲を絞り込める体制になっていますか。
未解明点
- 侵入経路や、感染が最初に起きた端末・サーバーはどこか。
- 個人情報が実際に流出したのか。流出した場合の対象者の範囲、件数、情報の種類はどうか。
- 攻撃者の名称や要求の内容、身代金の有無は明らかになるか。
- 事務機能が完全に復旧した時期と、再発防止策の内容はどうか。
- 同校の発表日は10月20日か10月22日か。公式発表の文面はどうなっているか。
出典
- 1Innovatopia2025-10-27報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2025-10-23報道本文確認済
- 3ScanNetSecurity2025-10-31報道本文確認済
- 4ScanNetSecurity（株式会社イード）2025-10-31報道本文確認済