東海大学の委託先（東海ソフト開発）へのランサムウェア攻撃（学生・保護者・教職員など最大延べ193,118人分の個人情報漏えい）
公表日
東海大学がネットワークの保守・管理を任せていた会社（東海ソフト開発）がランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の被害を受け、そこに保存されていた大学関係者の個人情報が漏えいしました。対象は学生・保護者・教職員など最大で延べ193,118人です。
対象者は？
2020〜2025年度の東海大学の学生とその保護者、2024年度の入学予定者、役員・教職員（退職者を含む）、付属高校・中等部の生徒と卒業生、九州東海大学の卒業生、業務システムを使う取引先関係者などです。氏名・生年月日・住所・電話番号・学籍番号、学園システムのIDとパスワードなどが含まれ、付属八王子病院 健康管理センターの健診受診者186人は健診情報、個人の取引先32人は金融機関の口座情報も対象です。人数はIDごとに数えているため重複があり、実際の人数は公表されていません。クレジットカード情報は含まれていません。
対象の方には2026年2月17日から郵送などで順次知らせており、連絡先が分からない方には公表で代えるとしています。専用の問い合わせ窓口（コールセンター）も設けられています。
いますぐできること
- 東海大学の学園システムと同じパスワードを他のサービスでも使っていれば、そちらのパスワードを変更する。IDとパスワードも対象に含まれているため
- 大学や病院を名乗るメール・電話・郵便で、個人情報や口座番号、支払いを求められても応じない。気になるときは公式サイトに載っている窓口に自分から問い合わせる
何が起きたのか
2025年11月7日の夜、東海大学からネットワークの保守・管理を任されていた東海ソフト開発のサーバーで、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の跡が見つかりました。同社の端末やサーバー20〜30台が被害を受け、脅迫文が残され、一部のファイルが暗号化されていました。翌朝、同社は外部とのネットワークを遮断し、警察に通報しました。調査で、攻撃を受けたサーバーに大学関係者の個人情報のファイルが保存されていたことが分かり、11月20日には同社の社内文書の一覧とみられる情報がダークウェブ通常のブラウザや検索エンジンではたどり着けない、特殊なソフトを使ってアクセスするネット上の領域です。匿名性が高いため、盗まれた個人情報やID・パスワードの売買、リークサイトの運営に使われることがあります。に載っていたことも警察から伝えられました。2026年2月18日、大学は個人情報の漏えいを確認したと公表しました。
なぜ起きたのか・なぜ広がったのか
攻撃者は、委託先のネットワークに入るための認証情報（IDやパスワードなど）を不正に手に入れて侵入したと説明されています。大学の第1報では、遠隔で保守作業をするための入口から、盗まれた管理者アカウントで侵入された可能性が示されましたが、認証情報をどうやって手に入れたかは公表されていません。大学の学内ネットワークへの侵入は確認されていません。契約では、作業は大学の中か大学の環境につないで行う決まりでしたが、委託先の社内にもデータが置かれており、それが被害の対象に含まれていました。
いまの状況2026-02-18 時点続報待ち
大学は、教職員・学生・保護者などのパスワードを区分ごとに一括で変更し、多要素認証のない一部の学内サービスについて学外からの利用を一時止めました。被害を受けたネットワークとは別に新しい環境を作り、安全を確かめた機器だけを移す方針です。再発防止として、委託契約書の見直しや、委託先への定期的な点検・報告の義務づけと監査を進めるとしています。第2報の時点で不正使用の報告は確認されていません。重複を除いた実際の人数、攻撃グループの名前、ダークウェブ通常のブラウザや検索エンジンではたどり着けない、特殊なソフトを使ってアクセスするネット上の領域です。匿名性が高いため、盗まれた個人情報やID・パスワードの売買、リークサイトの運営に使われることがあります。に載ったデータの範囲は、まだ発表されていません。
企業として考えたいこと
保守や開発を任せている会社の環境に、自社のデータのコピーが置かれていないと言い切れるでしょうか。契約書のほかに、それを確かめる方法はあるでしょうか。
技術的な要約
学校法人東海大学がネットワークシステムの保守・管理を委託していた株式会社東海ソフト開発で、2025年11月7日22:30に不正アクセスの形跡が確認され、同社の端末・サーバ20〜30台がランサムウェア被害を受けた（脅迫文あり、一部ファイル暗号化）。攻撃者は委託先ネットワークへの認証情報を不正に入手して侵入したとされ、第1報ではリモートメンテナンス用の入口から窃取された管理者アカウントで侵入された可能性が示された。大学の学内ネットワークへの直接侵入は確認されていないが、委託先が契約ルール（学内での作業または大学環境への接続による作業）に反してデータを社内に持ち帰っていたため、委託先サーバ上の個人情報ファイルが被害に遭った。2026年2月18日の第2報で、大学は個人情報が『漏えいしたことが分かった』とし、対象者を最大で延べ193,118人（学生76,314人、保護者45,810人、役員・教職員49,816人など。ユーザーID単位で重複あり）と公表した。漏えい項目は氏名・生年月日・住所・電話番号・学籍番号・学園システムのID/パスワードなどで、一部に健診情報（186人）や金融機関口座情報（32人）を含む。委託先は11月20日にダークウェブへの社内文書リスト等の掲載を警察から知らされ確認しているが、攻撃グループ名は公表されていない。
攻撃の分類
- 侵入口
- 委託先経由公表で確認大学の第2報：『攻撃者が委託先のネットワークにアクセスするための認証情報を不正に入手してシステム内に侵入し』サーバにランサムウェア攻撃を行った（委託先からの報告）。大学の第1報は『リモートメンテナンス用の入り口から、窃取された管理者アカウントを使って侵入された可能性』を記載。リモート保守の入口の種類（VPN装置、リモートデスクトップ、リモート保守ツール等）・製品名、認証情報の入手経路（フィッシング、インフォスティーラー、使い回し等）、MFAの有無はいずれも非公表。大学側では学内ネットワークへの直接侵入の形跡はSOC監視で確認されていない。委託先自身の公表（第1〜4報）は侵入経路に触れていない。
- 脆弱性
- CVE 非公表不明委託先（東海ソフト開発）のリモートメンテナンス用入口（製品・種別非公表）ソフトウェア脆弱性の悪用は公表されていない。公表されている侵入手段は不正入手した認証情報（管理者アカウント）の使用。入口となった機器・サービスの種類や多要素認証の有無は非公表。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 委託先：端末・サーバ20〜30台が不正アクセスを受け、一部ファイルが暗号化されシステム障害が発生、11/8 8:30に外部ネットワークを遮断。大学：多要素認証のない一部の学内サービスについて外部からのインターネット利用を一時停止。委託先が管理するサーバ・ネットワーク機器の管理者パスワードを変更し、不正アクセスを受けたネットワークとは別に新環境を構築して安全確認済み機器のみ移行する方針を示した。統合ID管理システムのパスワードを対象区分ごとに一括リセット（教職員2025/11/20、学生11/27、保護者2026/1/13、付属中高は順次）。期間：学内サービスの外部利用停止期間、委託先の復旧時期は非公表
- データ
- 確定上限 193,118確定 —人氏名生年月日性別住所電話メール会員ID健康情報口座従業員情報取引先情報その他（学園システムのID・パスワード：保存形式は非公表。第1報は『保護されていない個人情報ファイル』と記載）その他（学籍番号・教職員番号、所属・学部学科、付属校の生徒番号・年組出席番号・皆勤状況、一部卒業生の学園試験結果・所見、患者番号）大学第2報（2026-02-18）は『本法人の取り扱う個人情報が漏えいしたことが分かりました』とし、対象者は『最大で延べ193,118人』。ユーザーIDごとに1人と数えるため重複があり実人数は非公表（records_confirmedはnull）。見出しは『個人情報漏えいの可能性に関する調査結果』。区分別：東海大学学生（2020〜2025年度）76,314／学生の保護者45,810／入学予定者（2024年度）5,482／役員・教職員（退職者含む）49,816／取引先関係者等（業務システム利用権限者）3,004／九州東海大学卒業生594／付属高校・中等部生徒（2023〜2025年度入学）5,283／付属高校・中等部卒業生6,597／付属八王子病院健診受診者186（氏名・性別・年齢・生年月日・住所・患者番号・健診情報）／個人取引先等32（氏名・金融機関口座情報・学籍番号）。合計は193,118で一致。クレジットカード情報は含まれない。不正使用の報告は確認されていない（2026年1月時点・第2報時点）。高機微データ（健康情報186人、口座32人）は判定④・⑥aのしきい値に届かない。
- 波及先
- —
- 東海教育産業（同じく東海ソフト開発に業務委託し一部顧客情報を共有。2025/11/19に第一報、住所・電話・パスポート・口座・クレカ情報は含まれないと説明）
- 東海大学医学部付属八王子病院 健康管理センター（健診システムの保守・管理を同社に委託、健診受診者186人分が漏えい）
- 東海ソフト開発の他の取引先（第4報で『一部の業務委託に関連し個人情報の漏洩が確認』、該当取引先に個別連絡。件数・名称は非公表）
- 金銭影響
- —
- サプライチェーン
- 東海大学は、ネットワークシステム（および付属八王子病院の健診システム）の保守・管理の委託先である東海ソフト開発がランサムウェア被害を受けたことで、委託先サーバ上の個人情報が漏えいした『波及先』。委託契約では作業は大学構内での現地作業か大学環境に接続して行うルールだったが、委託先がデータを社内に持ち帰るなどルールと異なる運用をしており、個人情報が委託先に存在していた。大学自身も委託先の安全管理を十分に徹底できていなかったと認めている。委託先は東海教育産業など他の取引先の情報も扱っており、委託先を起点とする複数組織への波及となった。
時系列
- 2025-04-16 22:55【関連・別件】学校法人東海大学本体のネットワークへの不正侵入・ランサムウェア被害（認証情報窃取、フィッシングの可能性。43,451件のID等が暗号化、7/16に主要システム復旧）18
- 2025-11-07 22:30
- 2025-11-08 08:00委託先が不正アクセスを確認。8:30に外部ネットワークを遮断1
- 2025-11-09 10:30委託先がランサムウェアグループによる攻撃と確認し、神奈川県警へ通報1
- 2025-11-10 11:04委託先から大学へ第一報。14:00に神奈川県警が委託先を訪問1
- 2025-11-12 09:20攻撃対象サーバに大学関係者の保護されていない個人情報ファイル（ID・パスワード等を含む）があったと委託先から報告1
- 2025-11-13東海ソフト開発がランサムウェア攻撃を公表（第1報、データ流出は見受けられないが可能性は否定できない）6
- 2025-11-14東海ソフト開発が第2報で管理情報の『漏洩の可能性が大きく疑われる』と判断7
- 2025-11-14 17:30
- 2025-11-19
- 2025-11-20
- 2025-11-25東海ソフト開発が第3報（ダークウェブ掲載を公表）8
- 2025-11-27学生のパスワード一括リセット3
- 2025-12-03大学が業務委託先各社への注意喚起（情報セキュリティ対策の強化について）を順次開始3
- 2026-01-13保護者のパスワード一括リセット3
- 2026-02-03委託先から大学へ調査報告書が提出される3
- 2026-02-17
- 2026-02-18
技術解説
攻撃の構造：保守用リモート入口と管理者アカウント 事実
大学の第1報によれば、侵入は委託先の『リモートメンテナンス用の入り口』から窃取された管理者アカウントを使って行われた可能性があり、第2報は委託先ネットワークへの認証情報が不正に入手されたと説明している。委託先では端末・サーバ20〜30台が不正アクセスを受け、脅迫文が保存され一部ファイルが暗号化された。委託先は11/7 22:30の形跡から約10時間後の11/8 8:00に確認、30分後に外部ネットワークを遮断している。大学側のSOC監視では学内事務環境への侵入は確認されておらず、被害は委託先環境内で完結した。ただし委託先は大学のネットワーク保守を担っており、大学は委託先が管理していたサーバ・ネットワーク機器の管理者パスワードを全面的に変更し、ネットワーク自体の作り直しを決めている。入口の製品・MFAの有無・認証情報の入手経路は公表されていない。
なぜ大学のデータが委託先にあったのか 事実
第2報によると、委託契約では業務は『大学構内での現地作業』か『大学環境へ接続して行う作業』とするルールだった。ところが委託先はデータを社内に持ち帰るなど異なる運用をしており、個人情報が委託先に存在していた。委託先サーバ上の個人情報ファイルは第1報で『保護されていない』と報告され、学園システムのID・パスワードを含んでいた。対象は学生・保護者・教職員にとどまらず、付属校の生徒・卒業生、九州東海大学卒業生、付属八王子病院の健診受診者（健診情報）、個人取引先（金融機関口座情報）まで10区分に及ぶ。八王子病院も健診システムの保守を同じ委託先に出していた。大学は自らも委託先の安全管理を徹底できていなかったと認めており、契約上のルールが監査・技術的制御で担保されていなかったことが被害範囲を決めた。
件数の読み方：『最大で延べ』と『漏えい確定』 解釈
第2報は見出しを『個人情報漏えいの可能性に関する調査結果』としつつ、本文では『個人情報が漏えいしたことが分かりました』と書き、対象者を『最大で延べ193,118人』とする。ユーザーIDごとに1人と数えるため、同じ人が学生と卒業生、教職員と保護者などで重複しうる。したがって『19.3万人』は実人数ではなく、上限の延べ数である。一方、『漏えいした』という断定は、委託先第3報のダークウェブ掲載（社内文書リスト・ファイル名とみられる情報）や第4報の『漏洩が確認』と整合する。ただしダークウェブに大学関係者のデータそのものが公開されたかは公表されていない。報道では『漏えいのおそれ』とする見出しもあり、講義では公式の文言（漏えいは確定、件数は延べの上限）を区別して扱う必要がある。
パスワードリセットの時差（推測を含む） 解釈
11/12に委託先から『ID・パスワード等を含む保護されていない個人情報ファイル』の存在が報告されたが、統合ID管理システムの一括リセットは教職員11/20、学生11/27、保護者2026/1/13と段階的で、保護者分は報告から約2カ月後、付属中高は第2報時点でも『順次実施中』だった。ダークウェブ掲載の報告（11/20）以降も一部の区分の認証情報が有効なまま残った期間があったことになる。対象者数の多さや保護者アカウントの連絡手段の確保が理由とみられるが、公表文は理由を説明していない。大学は第1報の時点で、MFAのない学内サービスの外部利用を止めることで、この期間のリスクを抑えようとしたと読める。漏えいしたパスワードが平文か否かは非公表で、他サービスでの使い回しによる二次被害の可能性は残る。
同じ法人で7カ月に2度のランサムウェア被害 解釈
学校法人東海大学は2025年4月16日にも、本体のネットワークへの侵入とランサムウェア被害を受けている（7/17終報：認証情報が窃取されフィッシングの可能性、43,451件のユーザーID等が暗号化、公式サイト等が一時閲覧不能）。今回は侵入点が委託先だが、いずれも『正規の認証情報の悪用』で始まっている。4月の事案後、大学はネットワークの新規構築を進めていたが、委託先の保守経路やデータの持ち出しは同じ再発防止の範囲に入っていなかったとみられる。また11月時点で『多要素認証のない学内サービス』が残っていたことも第1報から読み取れる。自組織の境界を固めても、保守事業者が持つ管理者権限とデータの複製が別の侵入点になる典型例である。
対応
- 封じ込め
- 委託先：11/8 8:30に外部ネットワークを遮断、警察・個人情報保護委員会と連携し外部専門機関の助言でネットワーク・情報セキュリティ対策を見直し。大学：MFAのない一部学内サービスの外部利用を一時停止、委託先管理のサーバ・ネットワーク機器の管理者パスワード変更、漏えいの可能性がある機器の認証情報を順次変更、統合ID管理システムのパスワードを区分ごとに一括リセット（教職員11/20、学生11/27、保護者1/13、付属中高順次）、被害を受けたネットワークとは別に新環境を構築し安全確認済み機器のみ移行。業務委託先各社へ12/3から注意喚起。再発防止策として情報セキュリティ体制・責任者・ルールの明文化、教職員研修、学内ネットワークのアクセス管理強化、委託契約書の見直し（委託先の安全管理措置の明文化）、委託先への定期的な自己点検・報告義務と監査、委託先ネットワークのアクセス管理見直しの要請。
- 公表の仕方
- 委託先が2025/11/13に第1報、11/14第2報（漏洩の可能性大）、11/25第3報（ダークウェブ掲載）、2026/2/18第4報（一部業務委託で漏洩確認、取引先名・件数は非公表）。大学は大学への第一報（11/10）から4日後の11/14に第1報（件数なし）、2026/2/18に第2報で区分別件数・項目・原因（委託ルール違反）を公表。本人通知は2/17から郵送等、連絡先不明者は公表で代替。特設コールセンター開設。付属八王子病院も2/18に公表。
- 当局対応
- 文部科学省：情報セキュリティインシデント報告7回（第2報時点）
- 個人情報保護委員会：報告4回（大学、第2報時点）。委託先も報告
- 厚生労働省：報告1回（健診情報関連とみられる）
- 警察：委託先が11/9に神奈川県警へ通報、11/10県警が訪問、捜査協力
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託契約の『データを持ち出さない』ルールが技術的に担保されていなかった | 委託先の作業は大学側が用意したVDI/踏み台（PAM）経由に限定し、セッション録画・クリップボード/ファイル転送の禁止・DLPで持ち出しを技術的に防ぐ。年1回以上の委託先監査で、委託先環境に自組織データの複製がないことを確認項目にする |
| 保守用リモート入口の管理者アカウントが窃取され、それだけで侵入できた | 委託先からのリモート保守経路を棚卸しし、フィッシング耐性MFA・接続元IP制限・作業時間帯のみのJust-in-Time有効化を契約で必須化する。共有管理者アカウントを廃止し、作業者ごとの個人アカウントと承認フローを設ける |
| システムのID・パスワードを含む個人情報ファイルが保護されずに保存されていた | 認証情報を含むファイルの作成自体を禁止し、アカウント発行はIdPの一時URL・初回強制変更で行う。どうしても必要な名簿類は暗号化（鍵は委託元管理）し、保存先と保持期限を台帳化して期限到来で削除する |
| 認証情報漏えいの可能性判明から全区分のリセット完了まで2カ月以上を要した | IdPで区分を問わず全アカウントを即時に『次回ログイン時変更必須』にできる手順と、その間のサービス影響（保護者・付属校）を事前に机上演習しておく。リセット完了までは外部からのアクセスをMFA必須または学内限定にする |
| 一つの保守事業者が大学ネットワークと病院の健診システムの双方を扱い、他の顧客の情報も保持していた | 委託先ごとに『どのシステムのどのデータに、どの経路でアクセスできるか』をマッピングし、集中度の高い委託先は重点監査対象にする。委託先の被害通知を受けたら全関連システム（付属病院・関連会社を含む）へ同時に展開する連絡網を決めておく |
自組織などでの確認項目
- あなたの組織の保守・開発委託先は、自社データの複製を委託先の環境に持っていないと言い切れるか。それを契約書以外の何で確認しているか。
- 委託先に付与しているリモート保守経路（VPN、RDP、リモートツール）と管理者アカウントを一覧化できるか。そのうちMFAなし・共有アカウントのものはいくつあるか。
- 委託先から『ランサムウェア被害を受けた』と連絡を受けたとき、最初の24時間で自社側の何の認証情報を変え、どのサービスの外部アクセスを止めるか決まっているか。
- 数万〜十数万のアカウントを一括でパスワードリセットする場合、利用者への連絡手段と問い合わせ対応を含めて何日で完了できるか。
未解明点
- リモートメンテナンス用入口の種類・製品、認証情報の入手経路、MFAの有無
- ランサムウェアの種類と攻撃グループ名、ダークウェブに掲載されたデータの範囲（大学関係者のデータ自体が公開されたか）
- 漏えいしたパスワードの保存形式（平文かハッシュか）と、統合ID以外のシステムでの使い回し状況
- 重複を除いた実人数
- 委託先がデータを持ち帰った時期・目的と、大学がそれを把握できなかった理由
- 東海ソフト開発の他の取引先への影響の件数・範囲と、学内サービスの外部利用停止の解除時期
出典
- 1学校法人東海大学2025-11-14公式本文確認済
- 2学校法人東海大学2025-11-14公式本文確認済
- 3学校法人東海大学2026-02-18公式本文確認済
- 4学校法人東海大学2026-02-18公式本文確認済
- 5東海大学医学部付属八王子病院 健康管理センター2026-02-18公式本文確認済
- 6東海ソフト開発2025-11-13公式本文確認済
- 7東海ソフト開発2025-11-14公式本文確認済
- 8東海ソフト開発2025-11-25公式本文確認済
- 9東海ソフト開発2026-02-18公式本文確認済
- 10東海教育産業2025-11-19公式本文確認済
- 11ScanNetSecurity2025-12-05報道本文確認済
- 12ScanNetSecurity2025-12-05報道本文確認済
- 13ScanNetSecurity2026-03-06報道本文確認済
- 14INTERNET Watch2026-02-24報道本文確認済
- 15セキュリティ対策Lab（Rocket Boys）2026-02-20報道本文確認済
- 16セキュリティ対策Lab（Rocket Boys）2025-11報道本文確認済
- 17Botcrawl2025-11-18報道本文確認済
- 18学校法人東海大学2025-07-17公式本文確認済