京都工芸繊維大学 学務系総合システムの設計不備による個人情報の外部閲覧可能状態（最大2,539名）
公表日
京都工芸繊維大学で、学務系システムのファイルが外部から見られる状態になっていました。個人情報が含まれていた可能性のある人は最大2,539名で、実際に見られたかは確認中です。
対象者は？
約1万件のファイルのうち544件に個人情報が含まれ、最大2,539名に影響が及ぶ可能性があります(流出が確認された人数は発表されていません)。内容は、学生番号・氏名・住所・インターンシップ先など(1,002名)、他機関の就職関係窓口担当者の勤務先・氏名・職場の電話・メール(749名)、振込口座番号・通帳の写しなど(2名)、健康診断証明書(1名)などです。1件には要配慮個人情報が含まれていました。大学は影響のおそれのある方に順次個別に連絡しています。
大学から個別に連絡が届きます。詳細は大学の公式のお知らせで確認できます。
いますぐできること
- 大学からの個別連絡が届いていないか確認する
- 大学の公式のお知らせで、自分に関わる情報の種類が含まれていないか確認する
何が起きたのか
2025年8月7日、学内限りのはずのお知らせファイル1件が外部から見られるとの指摘が大学にありました。大学はすぐにそのサイトへの外部からのアクセスを止め、ファイルを削除しました。その後の点検で、掲示板のお知らせファイルとメール配信の添付ファイルが同じフォルダに保存される作りで、外部から見たり取得したりできる状態だったことが分かりました。約1万件のファイルを確認し、9月11日に公表しました。
なぜ起きたのか・なぜ広がったのか
大学は原因をシステムの設計上の不備と説明しています。お知らせファイルと学生向けメールの添付ファイルが同じフォルダに保存される設計だったため、本来制限されるべき情報が外部から見られる状態になっていました。この状態は平成23年のシステム導入から続いていたと推測されています。
いまの状況2025-09-24 時点続報待ち
2025年9月24日時点で、大学は外部から見られない状態にしており、全ファイルをサーバから移してローカル環境に退避しています。不正利用の事実やそのおそれは確認されていません。2024年8月8日から2025年8月7日までのアクセスログは調査中で、結果はまだ発表されていません。再発防止として、全学的システムの点検と必要な改修、新規開発や改修時の設計段階からの確認を行うとしています。
企業として考えたいこと
自社の掲示板やメール配信、共有フォルダに、外部の人が見られるファイルや、用途の違うデータが同じ場所に混ざったものはありませんか。
技術的な要約
京都工芸繊維大学は2025年9月11日、学務系総合システムの「掲示板システム」及び「メール配信システム」で一部のファイルが外部から閲覧・取得できる状態であったと発表した。2025年8月7日に学内限りのお知らせファイル1件が外部から閲覧可能との指摘を受けて発覚し、大学は直ちに当該サイトの外部アクセスを遮断してファイルを削除した。緊急点検で、お知らせファイルとメール配信の添付ファイルが同一フォルダに保存される設計の不備が確認された。約1万件のファイルを確認した結果、544件に個人情報が含まれ、実人数で2,539名に影響が及ぶ可能性があり、うち1件には要配慮個人情報が含まれていた。この状態は平成23年のシステム導入から継続していたと推測されており、アクセスログが確認できる2024年8月8日から2025年8月7日までのデータを調査中である。現時点で不正利用の事実及びそのおそれは確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認攻撃者による侵入経路は公表されていない。公式発表では原因はシステムの設計上の不備で、掲示板システムのお知らせファイルと学生向けメール配信の添付ファイルが同一フォルダに保存される設計のため外部から閲覧・取得できる状態だった。発覚した1件は誤って学外公開の設定になっていた。
- 脆弱性
- CVE 非公表公表で確認学務系総合システム（掲示板システム・メール配信システム）CVEの記載なし。同一フォルダ保存というフォルダのシステム設計の不備により、本来制限されるべき情報が外部から閲覧・取得できる状態だった。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止は公表されていない。発覚後、当該サイトの外部からのアクセスを遮断した。
- データ
- おそれ上限 2,539確定 —人氏名住所電話メール口座健康情報取引先情報その他約1万件のファイル（お知らせ掲載5,813件、メール添付2,599件、その他1,649件）を確認し、544件に個人情報が含まれ、実人数2,539名に影響が及ぶ可能性。うち1件に要配慮個人情報。内訳例：授業関係連絡書類（学生番号・氏名・住所・インターンシップ先など）1,002名、他機関就職関係窓口担当者（勤務先・氏名・職場電話・メール）749名、振込口座番号・通帳の写しなど2名、平成28年度健康診断証明書1名。流出確定件数は公表されていない。現時点で不正利用の事実及びそのおそれは確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2024-08-08アクセスログが確認できる期間の開始日（2025-08-07までを調査中）。外部閲覧可能な状態は平成23年のシステム導入から継続していたと推測されている。2
- 2025-08-07
- 2025-08-07大学が直ちに当該サイトの外部からのアクセスを遮断し、当該ファイルを削除。2
- 2025-09-11緊急点検の結果、当該ファイルが誤って学外公開の設定だったこと、およびお知らせファイルとメール添付ファイルが同一フォルダに保存される設計の不備を公表。2
- 2025-09-11約1万件のファイルを確認し、544件に個人情報が含まれ実人数2,539名に影響が及ぶ可能性があると公表。うち1件は要配慮個人情報。2
- 2025-09-11全ファイルをサーバ上からローカル環境に退避し外部アクセス不可とした。影響を受けるおそれのある方々へ順次個別に連絡。2
- 2025-09-11
- 2025-09-24ScanNetSecurityが本件を報道。1
技術解説
何が起きたか(公表内容の整理) 事実
京都工芸繊維大学は2025年9月11日、同学が管理する学務系総合システムのうち「掲示板システム」及び「メール配信システム」で、一部のファイルが外部から閲覧・取得できる状態であったと発表した。2025年8月7日に、学内限りで利用すべきお知らせファイル1件が外部から閲覧可能だとの指摘があり発覚した。大学は直ちに当該サイトの外部からのアクセスを遮断し、当該ファイルを削除した。その後の緊急点検で、当該ファイルは誤って学外公開の設定になっていたことが判明した。さらに、お知らせファイルと学生向けメール配信の添付ファイルが同一フォルダに保存される設計で、そのフォルダのシステム設計に不備があることも確認された。
影響範囲の数字(上限と確定の区別) 事実
大学は約1万件のファイルを確認した。内訳は、お知らせ掲載ファイル5,813件、メール配信の添付ファイル2,599件、その他のファイル1,649件である。このうち544件に個人情報が含まれ、実人数で2,539名に影響が及ぶ可能性があるとされた。2,539名は「可能性」の数字であり、外部から実際に閲覧・取得された人数ではない。流出が確定した件数は公表されていない。1件には個人情報保護法上の要配慮個人情報が含まれていた。内訳例として、授業関係連絡書類(学生番号・氏名・住所・インターンシップ先など)の1,002名、他機関就職関係窓口担当者(勤務先・氏名・職場電話・メール)の749名、振込口座番号・通帳の写しなどの2名、平成28年度健康診断証明書の1名が示されている。現時点で不正利用の事実及びそのおそれは確認されていないとされる。
継続期間とログ調査の位置づけ 事実
大学の発表では、この状態は当該システムを導入した平成23年から継続していたと推測されている。ただし、アクセスログが確認できるのは令和6年8月8日から令和7年8月7日までであり、この期間のデータについて調査を進めているとされる。つまり、推測される継続期間とログで検証できる期間には差がある。調査結果は、今回参照した公表内容には含まれていない。また、公表された原因は攻撃者の侵入ではなく、システムの設計上の不備にあり、本来制限されるべき情報が外部から閲覧・取得できる状態となっていたものとされている。
被害が広がりうる構造(解釈) 解釈
公表された事実からは、用途の異なるデータ(学内向けの掲示、個別メールの添付、その他の置き場)が同一フォルダに混在していたことが、影響の広がりやすさに関わった可能性がある。一つの公開設定の誤りや設計上の前提が、複数の機能のファイルに同時に及びうるためである。また、約10年以上にわたる運用のなかで蓄積したファイルが対象になり、対象者が学生、学外の就職関係窓口担当者など多様な立場に及んだことも読み取れる。ただしこれは公表内容からの推測であり、大学内部の運用や設計の詳細は公表されていない。
公表と対応の評価(解釈) 解釈
発覚当日に外部アクセスを遮断してファイルを削除し、その後に全ファイルをローカル環境へ退避した点は、公表された範囲では封じ込めが段階的に行われたと読める。発覚から公表までは約1か月あり、その間に約1万件のファイルを確認して個人情報の件数と人数を整理したとされる。公表には、データ種別ごとの人数、要配慮個人情報の有無、不正利用の確認状況、再発防止の方向性が含まれている。一方で、ログ調査の結果や、外部から実際にアクセスされた形跡の有無は今後の発表を待つ必要がある。評価は公表資料の範囲に限られる。
対応
- 封じ込め
- 2025年8月7日の指摘を受け、直ちに当該サイトの外部アクセスを遮断し当該ファイルを削除。その後、全ファイルをサーバ上から移動してローカル環境に退避し、現在は外部からアクセスできない。
- 公表の仕方
- 2025年9月11日に大学公式サイトでお詫びとお知らせを公表。影響を受けるおそれのある方々へ順次個別に連絡している。原因はシステムの設計上の不備とし、再発防止として学務系総合システムをはじめ全学的システムの点検と必要な改修、新規開発・改修時に必要に応じ外部専門機関の協力を得た設計段階からの確認を行うとしている。アクセスログ（2024-08-08～2025-08-07）は調査中。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 用途の異なるデータを同一フォルダに混在させると、一つの公開設定の誤りが複数機能に波及する | 掲示用・メール添付・業務文書の保存先をストレージ上で分離し、バケットやディレクトリ単位で別々のアクセス制御を設定する。公開が必要なものだけ専用の公開領域に置く。 |
| 公開設定の誤りは利用者側の指摘で初めて発覚することがある | 外部から匿名でアクセスできるURL・パスを定期的に自動スキャンし、認証なしで取得できるファイルを検知して管理者に通知する仕組みを設ける。 |
| 古いシステムに蓄積した個人情報は、棚卸しをしないと所在と量を把握できない | 保存ファイルに保存期間と分類(個人情報・要配慮個人情報の有無)を付与し、期限を過ぎたものは自動削除または非公開領域へ移す運用にする。 |
| アクセスログの保持期間が短いと、影響範囲を検証できる期間が限られる | Webサーバ・ファイル配信層のアクセスログを、システム稼働期間の影響調査に足る期間(例:1年超)保管し、改ざん耐性のある別領域へ転送する。 |
| 既定値が「外部から取得可能」だと設定ミスが事故に直結する | 新規ファイルの既定を非公開にし、公開は明示的な承認操作を必要とする設計にする。設計・改修時にレビューで公開範囲を確認する工程を入れる。 |
自組織などでの確認項目
- 自組織の掲示板・メール配信・共有ストレージで、認証なしのURLから取得できるファイルがないか、外部ネットワークから実際に確認できますか。
- 用途の違うファイル(社内向け掲示、メール添付、業務文書)が同じ保存先や同じアクセス権で混在していないか、設計図や設定で確認できますか。
- 導入から10年以上経過したシステムに、個人情報や要配慮個人情報を含むファイルがどれだけ残っているか、棚卸しの記録がありますか。また、アクセスログは何年分、遡って確認できますか。
未解明点
- アクセスログ(2024年8月8日〜2025年8月7日)の調査結果、すなわち実際に外部から閲覧・取得された事実があったかどうかは、まだ公表されていない。
- ログが残っていない平成23年以降の期間について、外部からの閲覧・取得の有無をどう評価するかは公表されていない。
- 個人情報保護委員会など当局への報告の有無や、補償・対応の詳細は公表されていない。
出典
- 1ScanNetSecurity2025-09-24報道本文確認済
- 2国立大学法人京都工芸繊維大学2025-09-11公式本文確認済