関西国際大学の学内システムへの不正アクセス（eポートフォリオのファイル外部流出、学内ネットワーク停止、件数調査中）
公表日
関西国際大学の学内システムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、2023年3月までに在籍していた学生の、在学中の経験や振り返りなどを書いた文章が外部に流出しました。学内のネットワークも止まっています。
対象者は？
2023年3月までに関西国際大学に在籍していた学生です。流出したのは「eポートフォリオ」に保存されていた、在学中の経験や振り返りなどの文章です。氏名や学籍番号など個人を特定できる情報が含まれるか、対象者の範囲と人数は、まだ調査中です。
対象者の範囲はまだ調査中です。大学は確認できた事実を順次公表するとしているので、公式のお知らせを確認してください。
いますぐできること
- 大学のシステムで使っていたパスワードを、他のサービスでも使っていれば変更する
- 大学を名乗るメールや電話で、個人情報や支払いを求められても応じない。気になるときは大学の公式サイトで確認する
何が起きたのか
2026年9月30日、関西国際大学は学内システムの一部に第三者の不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があったと公表し、学内システムのインターネット接続を止めました。10月6日の第2報で、学生の在学中の記録を保存する「eポートフォリオ」のファイルが、外部から繰り返し取得されていたことを公表しました。学内Wi-Fiを含む学内ネットワークは止まっており、授業の連絡や課題の提出などは別の方法で行われています。
なぜ起きたのか・なぜ広がったのか
どこから、どのように侵入されたか、いつ起きたかは、まだ公表されていません。大学は外部の専門機関に調査を頼む方向だと説明しています。
いまの状況2026-10-06 時点続報待ち
学内Wi-Fiを含む学内ネットワークは止まったままで、10月中旬以降に、学内から学習管理システム（WebClass）や教務システムなどを使えるよう順に再開することを目指しています。学外からの利用や学内Wi-Fiの再開時期は決まっていません。侵入の経路、流出の範囲と人数は、まだ発表されていません。
企業として考えたいこと
卒業生や退職者など、もう関係が終わった人の記録が、今も使っているシステムの中に残っていないでしょうか。残しておく理由と期間を決めているか確認してみましょう。
技術的な要約
関西国際大学は2026年9月30日、学内システムの一部に第三者による不正アクセスを確認したと公表し、被害拡大防止のため学内システムのインターネット接続を停止した。10月6日の第2報で、アクセス記録の分析からeポートフォリオシステムに保存されていた複数のファイルが外部から繰り返し取得されたことを確認し、2023年3月までに在籍していた学生の在学中の経験や振り返りなどの文字情報が外部に流出したと判断したと公表した。氏名・学籍番号など個人を特定できる情報が含まれるか、対象者の範囲と件数、侵入経路・発生時期は調査中である。学内Wi-Fiを含む学内ネットワークは停止しており、10月中旬以降に学内からWebClassやUniversal Passportを利用できるよう段階的再開を目指している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明不明。公式は「学内システムの一部への第三者による不正アクセス」とし、侵入経路・原因は調査中で外部専門機関に調査を依頼する方向と説明（第2報）。VPN機器・ランサムウェア等への言及はない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 9/30時点で学内システムのインターネット接続を停止し、一部の学内システムが利用不可。10/6時点で学内Wi-Fiを含む学内ネットワーク接続を停止中。授業連絡・教材配布・課題提出・履修・成績手続き・就職支援に代替手段を案内し、提出期限等を調整。10月中旬以降に学内からWebClass・Universal Passport等を段階的に再開する目標。学外からの利用・学内Wi-Fiの再開時期は未定。期間：2026-09-30以前から停止中（10/6時点で継続、10月中旬以降に段階的再開の目標）
- データ
- 確定上限 —確定 —その他（eポートフォリオの文字情報：在学中の経験や振り返り等）第2報で、eポートフォリオシステムに保存されていた複数のファイルが外部から繰り返し取得されたことを確認し、2023年3月までに在籍していた学生の文字情報が流出したと判断。氏名・学籍番号など個人を特定できる情報が含まれるかは確認中。その他の情報の流出有無、在学生への影響、対象者の範囲と件数は調査中。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先の関与や他組織への波及は公表されていない。
時系列
技術解説
判明している事実 事実
大学は9/30に学内システムの一部への不正アクセスを公表し、学内システムのインターネット接続を止めた。10/6の第2報で、アクセス記録の分析によりeポートフォリオシステムに保存されていた複数のファイルが外部から「繰り返し」取得されたことを確認し、2023年3月までに在籍していた学生の在学中の経験・振り返り等の文字情報が流出したと判断した。個人を特定できる情報が含まれるか、件数、侵入経路、発生時期はいずれも調査中である。学内Wi-Fiを含むネットワークの停止により、WebClassやUniversal Passportといった授業・教務の基盤も学内から使えず、授業連絡・課題提出・成績手続き等に代替手段が必要になっている。
なぜ卒業生のデータが残っていたか（解釈） 解釈
流出が確認されたのは「2023年3月までに在籍していた学生」の情報で、少なくとも3年半以上前に卒業・離籍した学生のファイルがeポートフォリオ上に残り、外部から取得可能な状態にあったことになる。eポートフォリオは学修成果の蓄積を目的とするため削除の動機が働きにくく、学外からのアクセスを前提に公開されることも多い。また「繰り返し取得」という表現は、単発の侵入ではなく一定期間にわたる自動的な取得（列挙・クローリング等）を示唆するが、認証回避か、正規アカウントの悪用か、アクセス制御の不備かは公表されていない。いずれも推測である。
教育機関におけるネットワーク全停止の影響（解釈） 解釈
大学は封じ込めのため学内ネットワークを全面停止しており、侵入範囲がeポートフォリオに限られるかを確認できない段階では妥当な判断と言える。一方、LMSや教務システムまで止まったことで、学期中の授業運営・成績処理・就職支援に広く代替運用が必要になった。学外からの利用再開時期は未定で、復旧が「安全性を確認できたシステムから段階的に」となっていることから、システム間のネットワーク分離や、侵害範囲を素早く切り分けられるログが十分でなかった可能性がある。
対応
- 封じ込め
- 学内システムのインターネット接続を停止（9/30）、学内Wi-Fiを含む学内ネットワークを停止（10/6時点で継続）。安全を確認できたシステムから段階的に再開予定（10月中旬以降、学内からWebClass・Universal Passport等）。外部専門機関への調査依頼を進める。利用者へパスワード変更・使い回しパスワードの変更、不審な連絡への注意を呼びかけ。
- 公表の仕方
- 9/30第1報（不正アクセスの確認とネットワーク停止）、10/6第2報（学長名義、eポートフォリオからの流出判断、システム停止状況と代替手段）。侵入経路・時期・件数は調査中で、確認済み事実と調査中事項を区別して継続公表するとしている。
- 当局対応
- 警察：相談・連携
- 個人情報保護委員会：判明事実に応じて必要な対応を進める（10/6時点）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 卒業・離籍から年数の経った学生のeポートフォリオが外部から取得可能な状態で残っていた | eポートフォリオの保持期間を定め、卒業後一定期間でアーカイブ（学外非公開ストレージ）に移すか本人のエクスポート後に削除する。公開範囲の既定値を「本人と担当教員のみ」にし、ファイルの直接URLは署名付き・短期限にする |
| ファイルが「繰り返し」取得されるまで検知できなかった | 学修系システムのアクセスログを集約し、同一アカウント・IPからの短時間大量ダウンロードや連番アクセスをアラート化する。外部公開のWebアプリはWAFでレート制限をかけ、ログを最低1年保管する |
| 封じ込めのためにネットワーク全体を止め、LMS・教務まで長期停止した | 学修系・教務系・研究系・事務系をセグメント分離し、侵害時に該当セグメントだけを切り離せる構成にする。LMS・教務の代替運用手順（連絡手段、課題提出、成績処理）を学期前にBCPとして整備し訓練する |
| 学生・卒業生のパスワード使い回しによる二次被害リスク | 学内認証をSSO＋多要素認証に統一し、侵害時は全アカウントの強制リセットと漏えいパスワード照合（HIBP等）を実施できるようにする |
自組織などでの確認項目
- あなたの組織の外部公開システムに、もう関係のない人（退職者・卒業生・解約者）のデータが何年分残っているか。それは誰が、いつ消す決まりになっているか。
- 侵害の範囲が分からないとき、ネットワーク全体を止めずに該当システムだけを切り離せる構成になっているか。全停止した場合、業務は何日まで代替運用で回るか。
- 「ファイルが繰り返し取得された」ことを、あなたのシステムではどのログから、どれくらいの時間で気づけるか。
未解明点
- 侵入経路・原因と発生時期、検知の契機と日時
- 流出ファイルに氏名・学籍番号など個人を特定できる情報が含まれるか、対象者の範囲と件数
- eポートフォリオ以外のシステム・情報（在学生、教職員情報等）への影響の有無
- 学内ネットワーク・学外利用の完全復旧時期
- 8/17〜18の公式Webサイト一時停止との関係（大学は関連を示していない）
出典
- 1関西国際大学2026-09-30公式本文確認済
- 2関西国際大学2026-10-06公式本文確認済
- 3セキュリティ対策Lab（Rocket Boys）2026-10-02報道本文確認済