埼玉大学のGPA分布レポートで学籍番号が閲覧可能に（在学生8,373人分・データソース設定不備）
公表日
埼玉大学で、在学生の学籍番号とGPAなどが、特定の画面操作で見られる状態になっていました。対象は最大で在学生8,373人分で、不正利用や外部への拡散は確認されていないと発表されています。
対象者は？
2025年11月14日10時23分から11月18日12時53分の間に、GPA分布レポートの対象となっていた在学生8,373名です。見られる可能性があった項目は、学籍番号、GPA、所属する学部・学科に関する情報などです。氏名・連絡先・生年月日など、個人を直接特定できる情報は含まれていないと大学は説明しています。
大学の公式なお知らせに、対象者、項目、公開期間が書かれています。個別の連絡の有無については、まだ発表されていません。
いますぐできること
- 大学の公式なお知らせを読み、自分が対象かどうかと、見られる可能性があった項目を確認する。
- 学籍番号やGPAを知っているように装った不審な連絡が来たら、相手を確かめるまで返信や情報提供をしない。
- 大学からの追加のお知らせが出ていないか、ときどき公式サイトを見る。
何が起きたのか
埼玉大学は、学生の学修状況を分かりやすく示すため、GPAの分布を表すレポートを学生と保護者向けに公開していました。レポートは学内の認証システム経由で案内され、限られた人だけが見られるものでした。ところが、グラフの裏にある元データを特定の操作で一覧表示でき、学籍番号とGPAが1行ずつ並んだ画面が見られる状態でした。この状態は2025年11月14日から11月18日までの約4日間続きました。11月18日に学生からの指摘で分かり、その日のうちに公開を止めました。大学は12月15日にお詫びとともに公表しました。
なぜ起きたのか・なぜ広がったのか
大学は、使っていたツールが元データを一覧表示できる仕様だったこと、そのデータの中に学籍番号が残ったまま公開されたことを原因に挙げています。背景として、職員がツールの仕様やリスクを十分に理解できていなかったこと、公開前の確認で操作したときの画面の動きや表示される範囲を十分に調べられていなかったことも挙げています。外部からの攻撃によるものとは発表されていません。
いまの状況2025-12-15 時点続報待ち
2025年12月15日時点で、大学は不正利用や外部への拡散を確認していないとしています。再発防止策として、全教職員への注意喚起、データの管理方法と公開手順の明確化、公開前の確認の強化、研修や情報共有を行うと示しました。実際に見られた人数や、対象者への個別の連絡については、まだ発表されていません。
企業として考えたいこと
あなたの会社が社内や顧客向けに公開しているグラフや集計画面の裏には、どんなデータが入っていて、画面操作でそれが見えることはないでしょうか。
技術的な要約
埼玉大学は2025年12月15日、在学生の学籍番号およびGPAなどを含む情報が、一部の画面操作によって閲覧可能な状態になっていたと発表した。学生・保護者向けに学内認証システム経由で限定公開していたGPA分布レポートで、データ可視化ツールのデータソースに学籍番号が残ったまま公開されており、特定の操作で学籍番号とGPAが1行ずつ並んだ一覧を表示できた。閲覧可能だった期間は2025年11月14日10:23から11月18日12:53までで、11月18日に学生からの指摘で判明し、同日中に公開を停止した。対象は在学生8,373名分で、氏名・連絡先・生年月日など個人を直接特定できる情報は含まれないとされる。不正利用や外部への拡散は現在のところ確認されておらず、大学は全教職員への注意喚起、データソース管理・公開手順の明確化、公開前確認の強化などを再発防止策として示している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認攻撃者による侵入は公表されていない。公式表現は「データソースの設定に不備があり、特定の画面操作を行った場合に本来非公開とすべき学籍番号とGPAの一覧が画面上に表示される状態となっておりました」。レポートのURLは学内認証システムを通じて学生と保護者にだけ周知されていた。不正なアクセスは確認されていないとされる。
- 脆弱性
- CVE 非公表公表で確認データ可視化ツール（製品名非公表）ツール仕様上、グラフ背後の元データ（データソース）を特定操作で一覧表示できる状態で、学籍番号がデータソースに残存したまま公開されていた。公開画面からのデータダウンロードはできない仕様。CVEの記載なし。
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 業務停止の記載はない。問題のレポートの公開を2025年11月18日に停止した。
- データ
- おそれ上限 8,373確定 —人その他閲覧された可能性のある項目は、学籍番号、GPA区分、GPA、学生所属コード、学部名、学科名、所属名カナ、所属名略称、学部名英字、学科名英字、所属名記号、現況区分名、GPA区分名称、学期区分名称（在学生8,373名分）。氏名・連絡先・生年月日等の個人を直接識別できる情報は含まれない。不正利用や外部拡散の事実は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
何が、どのように閲覧可能になっていたか 事実
埼玉大学は、学生の学修状況の「見える化」を目的に、データ可視化ツールで作成したGPA分布レポートを、学生と保護者向けに学内認証システム経由で限定公開していた。ところがデータソースの設定に不備があり、特定の画面操作を行うと、本来非公開とすべき学籍番号とGPAの一覧が画面上に表示される状態だった。一覧は学籍番号とGPAが1行ずつ並んだ形で表示できた。公開画面からのデータのダウンロードはできない仕様だった。レポートのURLは、学生と保護者に限定した学内認証システムを通じて周知されていた。閲覧可能だった期間は2025年11月14日10時23分から11月18日12時53分までで、約4日間である。
影響範囲と確認状況 事実
大学の発表による対象者は在学生8,373名である。閲覧された可能性のある項目は、学籍番号、GPA区分、GPA、学生所属コード、学部名、学科名、所属名カナ、所属名略称、学部名英字、学科名英字、所属名記号、現況区分名、GPA区分名称、学期区分名称。氏名・連絡先・生年月日など、個人を直接識別できる情報は含まれないとされている。公表では「閲覧された可能性のある」という表現が使われており、8,373名は可能性のある範囲を示す数字である。実際に閲覧された人数についての記載は、確認した範囲では見当たらない。大学は、不正利用や外部への拡散の事実は現在のところ確認されていないとしている。
大学が示した原因と対応 事実
大学は原因を、ツールの仕様上グラフ背後の元データが特定操作で一覧表示できるにもかかわらず、本来非公開とすべき学籍番号がデータソースに残存したまま公開されていたことだとしている。背景として、可視化ツールの仕様やリスクに関する職員の理解が十分でなかったこと、公開前の確認作業で操作時の挙動や表示範囲を十分に検証できていなかったことを挙げた。問題は2025年11月18日に学生からの指摘で判明し、直ちに公開を停止した。12月15日にお詫びとして公表し、再発防止策として、全教職員への注意喚起、データソース管理方法と公開手順の明確化、公開前確認の強化、研修や情報共有を示している。
「画面の見え方」と「裏のデータ範囲」のずれ（解釈） 解釈
本件は外部からの侵入ではなく、公開設定の範囲に関する事案と読める。学内認証でURLの周知先を絞っていても、レポートの裏側にあるデータそのものに不要な項目が残っていれば、画面操作次第で表示され得る。グラフとして見える情報だけで公開の可否を判断すると、こうしたずれは見落とされやすいのかもしれない。大学自身も、公開前の検証が操作時の挙動や表示範囲に及んでいなかった点を挙げている。また、11月18日の判明から12月15日の公表まで27日あり、この間の調査内容は公表されていない。この期間の妥当性は、公開情報だけでは評価できない。
対応
- 封じ込め
- 2025年11月18日に学生からの指摘で判明後、直ちに（同日中に）レポートの公開を停止した。
- 公表の仕方
- 2025年12月15日に大学公式サイトでお詫びとして公表。対象者（在学生8,373名）、閲覧された可能性のある項目、公開期間、原因、再発防止策を記載した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 可視化ツールでは、画面に見えるグラフだけでなく、裏側のデータソース全体が公開範囲になり得る。 | 公開用データソースは、表示に必要な列だけを持つ専用の抽出ビューやテーブルとして作る。元の学籍番号などの識別子列は、抽出段階で除外または集計済みにする。 |
| URLを限定して周知しても、閲覧権限の代わりにはならない。 | ダッシュボードの閲覧権限はURLの周知範囲に頼らず、ツール側の認証・認可で制御する。行レベルのアクセス制御が使えるなら、閲覧者ごとの表示範囲を設定する。 |
| 公開前の確認は、通常の見た目だけでなく、ツールの機能による操作時の挙動まで含める必要がある。 | 公開前チェックリストに「元データの表示」「エクスポート」「フィルタ操作」など、ツール固有の機能を試す項目を入れる。確認は作成者以外の担当者が行う。 |
| ツールの仕様やリスクの理解が担当者ごとに偏ると、設定の見落としが起きやすい。 | 公開手順書にデータソース管理のルールを明記し、新任者や担当者向けの研修で共有する。公開済みレポートは定期的に棚卸しし、公開中のデータ項目を一覧化して確認する。 |
| 利用者からの指摘が、問題を見つける重要な入口になっている。 | 学内外から不備を連絡できる窓口を、公開ページや学内ポータルに分かりやすく掲示する。受付から公開停止までの連絡手順と担当者を、事前に決めておく。 |
自組織などでの確認項目
- 自組織で社内や顧客向けに公開しているダッシュボードやレポートについて、裏側のデータソースにどの列が含まれているか、一覧で確認できるか。表示していない識別子列が残っていないか。
- BIツールなどで「元データの表示」「エクスポート」といった機能が、公開用の画面で使えるかどうか。使える場合、誰が設定を確認しているか。
- 公開前の確認は、作成者以外が操作を試す形になっているか。公開済みのレポートを定期的に点検する仕組みはあるか。
- 外部や利用者から不備の指摘を受けたとき、公開停止の判断者と連絡先は決まっているか。判明から公表までの手順は文書化されているか。
未解明点
- 実際にレポートの元データを表示した人数や、アクセスログの調査結果は公表されているか。公表資料では、8,373名は閲覧された「可能性のある」範囲とされている。
- 使用されたデータ可視化ツールの製品名は公表されておらず、同種の設定が他の公開レポートにないかを確認した結果も示されていない。
- 対象となった在学生への個別の連絡や問い合わせ窓口の有無は、確認した範囲では記載が見当たらない。
- 判明（2025年11月18日）から公表（12月15日）までの調査内容と、再発防止策の実施状況や時期についての続報は、確認できていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-16報道本文確認済
- 2ScanNetSecurity2026-01-07報道本文確認済
- 3国立大学法人埼玉大学2025-12-15公式本文確認済