大阪公立大学へのランサムウェア攻撃（仮想化基盤侵害でサーバ約500台停止、全学休講、約13万人分の個人情報保管システムが被害）
公表日
大阪公立大学がランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃を受け、学内ネットワーク、メール、教務や給与などのシステムが止まり、10月2日から8日まで全授業が休講になりました。被害を受けたシステムには少なくとも13万人分の個人情報が保管されていたと報じられていますが、流出したかどうかは調査中です。
対象者は？
報道によると、被害を受けたシステムには、在学生・卒業生・教職員の少なくとも13万人分（旧大阪市立大学は1995年以降、旧大阪府立大学は2005年以降の在籍者を含む）の情報が保管されていました。項目は氏名、住所、電話番号、メールアドレス、学生証の写真、教職員の給与振込口座などです。13万人は保管されていた人数の最大で、流出が確認された人数ではありません。流出の有無は調査中です。
流出の有無はまだ調査中です。大学の臨時お知らせサイトで最新の情報を確認してください。
いますぐできること
- 大学のアカウント（OMU認証）のパスワードは、大学の案内に従ってリセットする。同じパスワードを他のサービスで使っていれば、そちらも変更する
- 大学を名乗るメールやSMSで個人情報や支払いを求められても応じない。お知らせは臨時お知らせサイトやOMUエントランスなど、公式の案内で確認する
- 10月12日以前に大学へ送ったメールは届いていない可能性があるため、必要なら再送する。教職員の方は、給与振込口座の入出金に身に覚えのない動きがないかも確認する
何が起きたのか
2026年10月2日の0時30分ごろ、大阪公立大学の情報基盤で大きな障害が起き、学内ネットワーク、メール、Webサイト、教務・財務会計・人事給与・図書館などのシステムが使えなくなりました。障害は運用を任されていた会社からの連絡で分かりました。大学は当初、原因が分からないと発表し、10月2日から8日まで全授業を休講にしました。10月5日の記者会見で、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の攻撃だと判断したと説明しました。報道では、約500台のサーバーが止まり、一部のデータに改ざんの形跡があったとも伝えられています。医学部附属病院と獣医臨床センターのシステムは影響を受けず、診療は続いています。
なぜ起きたのか・なぜ広がったのか
どこからどのように侵入されたか、攻撃した者は誰かは、まだ公表されていません。報道によると、多くのシステムが共通で使う土台（仮想化基盤）に入られたため、約500台のサーバーが一度に止まりました。復旧に使うバックアップの多くも暗号化されたと報じられています。
いまの状況2026-10-15 時点続報待ち
大学は臨時のWebサイトや学習システムを用意し、10月9日に全キャンパスで対面授業を再開しました。メールは10月13日から再開しましたが、10月12日以前に送られたメールは届いていない可能性があり、再送が求められています。市大学生のメール、メーリングリスト、共有メールアドレスは停止が続いています。募集要項と出願様式は10月14日に確認できるようになりました。10月15日には、延長した入試の受験票印刷開始日が10月30日または11月12日に変更されました。基盤システム全体の復旧時期、侵入の経路、個人情報の流出の有無は、まだ発表されていません。
企業として考えたいこと
多くのシステムが同じ土台の上で動いていると、そこが止まったときにすべてが一度に止まります。自社のバックアップは、その土台ごと暗号化されない場所にあるでしょうか。
技術的な要約
2026年10月2日0時30分ごろ、大阪公立大学の情報基盤（仮想化基盤システム）で大規模障害が発生し、学内ネットワーク、OMUメール、法人・大学Webサイト、教務・財務会計・人事給与・図書館等の多数のシステムが利用不能になった。障害は運用委託事業者（ベンダー）からの連絡で発覚し、大学は同日14時に第1報を出して10月2日〜8日の全授業を休講とした。10月5日の記者会見で大学は「ランサムウェア攻撃によるものと判断」と説明し、報道によれば仮想化基盤への侵入で約500台のサーバが停止、復旧用バックアップの多くも暗号化され、一部データに改ざんの形跡があった。被害システムには在学生・卒業生・教職員の少なくとも13万人分の個人情報（氏名、住所、電話、メール、学生証写真、教職員の給与振込口座等）が保管されていたと報じられているが、流出の有無は調査中である。大学は臨時ドメイン omu.moe 上に臨時お知らせサイト・臨時Moodle等を構築して10月9日に対面授業を再開し、OMUメールは10月13日から再開したが、市大学生のメール（@st.osaka-cu.ac.jp）、メーリングリスト、共有メールアドレスは停止が続いている。侵入経路・攻撃者・基盤の全面復旧時期は10月10日時点で未公表。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公式（10/6掲載の記者会見報告）は『仮想化基盤システムにおいて大規模な障害が発生』『ランサムウェア攻撃によるものと判断』『外部専門業者と連携し調査中』とするのみで、侵入経路は非公表。報道（MBS等）は『各種情報システムが利用する仮想化基盤に侵入された』と伝えるが、これは到達点（被害範囲）であって初期侵入口（VPN機器、リモートデスクトップ、認証情報窃取、委託先経由など）ではない。障害はシステム運用委託事業者からの連絡で発覚しているが、委託先経由の侵入かどうかは不明。
- 脆弱性
- CVE 非公表不明悪用された脆弱性・製品（仮想化基盤のハイパーバイザ製品名、境界機器等）は10/10時点で非公表。仮想化基盤が暗号化されたことは報道ベースで判明しているが、ハイパーバイザ製品の脆弱性悪用か、管理者認証情報の悪用かは不明。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 全5キャンパス（森之宮・杉本・中百舌鳥・阿倍野・りんくう）で学内ネットワーク、OMUメール、法人・大学Webサイト、教育支援・教務・財務会計・人事給与・図書館システム等が利用不能（公式）。大学の全授業を10/2〜10/8休講、履修登録修正・総合教養科目2次抽選を延期（履修修正は10/14、総合教養科目の2次申請は10/15に受付予定）、10/8・9締切の出願を10/22 17:00、10/6締切の入学手続を10/22 12:00まで延長。延長後の入学者選抜の受験票印刷開始日は、文学部の一部選抜が10/30、それ以外は11/12に変更（10/15追記）。基盤障害で確認できなかった募集要項・出願様式は10/14に臨時お知らせサイトで確認可能になった。10/3以降の支払通知メールが送信不能（支払自体は遅延なし）。教職員の10月給与支給にも特別取扱いを告知。奨学金申請は個人メール（Gmail等）で代替。OMUメールは10/9 16時時点で一部ドメイン（st.osaka-cu.ac.jp）が学外から受信できない状況を確認し、10/13の再開後も市大学生のメール、メーリングリスト、共有メールアドレスは停止が続き、10/12以前に送信されたメールは届いていない可能性があるとして再送を依頼。医学部附属病院と獣医臨床センターのシステム（電子カルテ等）は影響なしで診療継続、高専は通常授業。期間：全学休講は2026-10-02〜10-08（7日間）。10/9に臨時Moodle・臨時学生Navi・QR出席等の代替手段で対面授業再開。OMUメールは10/8に学内間・学外受信を順次再開し、10/13から再開（10/12以前の送信分は未達の可能性）。ただし市大学生のメール（@st.osaka-cu.ac.jp）、メーリングリスト、共有メールアドレスは停止が続いている。基盤システム全体の復旧時期は10/10時点で未定
- データ
- 調査中上限 130,000確定 —人氏名住所電話メール口座従業員情報その他（学生証の顔写真）公式は『個人情報の漏洩の有無については調査中』で個人情報保護委員会へ報告済みとするのみで、件数・項目は公式ページに記載がない。件数・項目は10/5記者会見の報道（MBS、共同通信、関西テレビ等）による：被害システムに在学生・卒業生・教職員の『少なくとも13万人分』が保管。旧大阪市立大学は1995年以降、旧大阪府立大学は2005年以降の在籍者を含む。項目は氏名、住所、電話番号、メールアドレス、学生証の写真、教職員の給与振込口座等。13万人は『保管されていた人数』であり、流出のおそれ・確定の件数ではない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 障害は大学の情報基盤システムの運用委託事業者（ベンダー）からの連絡で発覚し、同事業者がシステム担当部署と原因調査・復旧に当たっている（第1報）。委託先の環境・アカウントが侵入経路となったかどうかは公表されておらず、現時点でサプライチェーン型と判断できる材料はない。他組織への波及も公表されていない。
時系列
- 2026-09-20 04:20
- 2026-10-02 00:30
- 2026-10-02
- 2026-10-02 14:00第1報を公表（原因不明、復旧見込み不明、10/2は休講、附属病院・獣医臨床センターは影響なし、ベンダーからの連絡で発覚）1
- 2026-10-02 17:0010/2〜10/8の全授業を終日休講とすると発表2
- 2026-10-02 18:00第2報を公表（10/8まで休講、10/9以降に対面授業再開予定、Web出願・入学手続サイトは学外サーバで稼働）3
- 2026-10-04 18:00出願期限を10/22 17:00、入学手続期限を10/22 12:00まで延長と告知（臨時お知らせサイト omu.moe 上）8
- 2026-10-05
- 2026-10-06 18:00記者会見の内容を臨時お知らせサイトに掲載（被害システムの範囲、漏えい有無は調査中）4
- 2026-10-08
- 2026-10-08 15:00
- 2026-10-09
- 2026-10-09 16:00OMUメールで、一部ドメイン（st.osaka-cu.ac.jp）において学外からのメールが受信できない状況を確認し、対応中と追記7
- 2026-10-13OMUメールが再開。10/12以前に送信されたメールは届いていない可能性があるとして再送を依頼。市大学生のメール、メーリングリスト、共有メールアドレスは停止が継続9
- 2026-10-14
- 2026-10-15出願期間を10/22まで延長している入学者選抜の受験票印刷開始日を変更（文学部の国際バカロレア特別選抜・帰国生徒特別選抜・編入学・学士入学試験は10/30、それ以外は11/12）。受験票はインターネット出願サイト内で発行8
技術解説
発生から原因判断までの経緯 事実
大学公式によると、2026年10月2日0時30分ごろ（遅くともこの時刻）に基盤と各種学内システム・ネットワークで大規模障害が発生した。障害は運用委託事業者からの連絡で発覚し、学長を本部長とする危機対策本部が設置された。大学は同日14時に第1報を出した。この時点では原因も復旧見込みも不明だった。同日17時には障害の継続を理由に休講を10月8日までに延長した。10月5日の記者会見で大学は、仮想化基盤システムの障害をランサムウェア攻撃によるものと判断したと説明した。個人情報保護委員会、文部科学省、設立団体（大阪府・大阪市）、JPCERT/CCへの報告も会見で示された。報道では大阪府警への相談も伝えられている。第3報は掲載されておらず、侵入経路と攻撃者は公表されていない。
被害の範囲：公式と報道の区別 事実
公式の会見報告は、仮想化基盤システムで大規模な障害が起き、ネットワーク、OMUメール、法人・大学Webサイト、教育支援・教務・財務会計・人事給与・図書館の各システムが利用不能になったとしている。サーバ約500台の停止は、MBSの会見報道をセキュリティ対策Labが伝えたもので、共同通信も大学側の説明として同じ台数と、一部データに改ざんの形跡があったことを報じた。共同通信は、攻撃者は分かっていないとも伝えている。復旧用バックアップの多くも暗号化されたという点も報道ベースである。保管されていた個人情報は在学生・卒業生・教職員の少なくとも13万人分と報じられているが、これは保管人数であり、流出の有無は調査中とされている。医学部附属病院と獣医臨床センターのシステムは影響を受けなかった。
復旧と業務継続の状況（10月15日時点） 事実
大学は臨時ドメイン omu.moe に臨時お知らせサイトや臨時Moodleなどを構築し、10月9日に全キャンパスで対面授業を再開した。OMUメールは10月8日に学内間の送受信を再開し、10月13日から再開した。ただし10月12日以前に送信されたメールは届いていない可能性があるとして、再送を依頼している。市大学生のメール（@st.osaka-cu.ac.jp）、メーリングリスト、共有メールアドレスは、公式ページの掲載時点でも停止している。10月9日16時には、st.osaka-cu.ac.jp宛ての学外からのメールが受信できない状況も確認されていた。募集要項・出願様式は、当初の目標だった10月9日より遅れて10月14日に確認できるようになった。10月15日には、出願期間を10月22日まで延長した入学者選抜の受験票印刷開始日が、文学部の一部選抜は10月30日、それ以外は11月12日に変更された。基盤システム全体の復旧時期は公表されていない。
バックアップが機能しなかった理由（推測） 解釈
報道は、復旧に必要なバックアップの多くも暗号化されたと伝えている。仮想化基盤を狙う攻撃では、管理者権限や管理基盤の認証情報を得て、仮想マシンのディスクを一括して暗号化する手口が一般的に知られる。同じ認証基盤やネットワークから到達できるバックアップ装置は、同時に暗号化や削除の対象になりやすい。本件でも、バックアップが本番と同じ管理ドメインやネットワークに置かれ、変更不能なコピーやオフラインのコピーが不足していた可能性がある。また、一部データに改ざんの形跡があったとの報道は、どの時点のデータを正とするかの検証を重くするとみられる。大学は構成を公表していないため、これらは推測にとどまる。
公表の評価と、残る食い違い 解釈
大学は発生当日に第1報を出し、原因不明の段階から休講と入試期限の延長を発表した。会見でランサムウェアと判断したことも早い段階で認めており、利用者向けの発信は速かったといえる。当初の説明は原因不明だったが、10月5日に攻撃と判断する形で更新された。一方で、侵入経路、攻撃者、身代金要求の有無、サーバ台数、個人情報の件数と項目は、公式文書には書かれていない。普段使わない .moe ドメインで公式案内を出す運用は、利用者が真偽を判断しにくい面がある。同時期に大学を装った不審な連絡への注意も呼びかけられているため、緊急時の代替ドメインは平時からの周知が望ましい。なお、フランス語の二次記事は攻撃を10月3日夜から4日にかけてと記しており、公式の10月2日0時30分ごろと食い違う。本稿は公式の日時を採用し、この記事は誤りか別の事象の記述である可能性がある。
対応
- 封じ込め
- 10/2に学長を本部長とする危機対策本部を設置し、システム担当部署と運用委託事業者、外部専門業者で原因調査・復旧作業。基盤の全面復旧前に臨時ドメイン omu.moe 上で臨時お知らせサイト・臨時Moodle・学務情報・授業カタログ・デジタル窓口・緊急無線LANを構築し、OMUメールを段階的に再開（10/8学内間・学外受信、10/13から再開。10/12以前の送信分は再送を依頼。市大学生のメール、メーリングリスト、共有メールアドレスは停止継続）。募集要項・出願様式は10/14に臨時お知らせサイトで公開し、履修修正（10/14）・総合教養科目2次申請（10/15）を受付予定とした。OMU認証パスワードのリセットも案内。病院・獣医臨床センターの分離系は通常運用を継続。
- 公表の仕方
- 10/2 14:00 第1報（原因不明）、同18:00 第2報（休講延長）、10/5 記者会見でランサムウェアと判断と公表（10/6に要旨を掲載）、10/8 15:00 第4報（対面授業再開）。第3報は掲載されていない。サーバ台数・バックアップ暗号化・個人情報の件数と項目は公式文書になく、会見の報道で伝えられた。侵入経路・攻撃者・身代金要求の有無は未公表。
- 当局対応
- 個人情報保護委員会：報告済み（10/5に連絡と報道）
- 文部科学省：報告
- 設立団体（大阪府・大阪市）：報告
- JPCERT/CC：報告
- 大阪府警：相談（報道）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 全学システムが仮想化基盤に集約され、基盤の被害でサーバ約500台（報道）が一斉に停止した | ハイパーバイザやvCenterなどの管理インタフェースを専用の管理VLANに隔離し、踏み台経由とMFAを必須にする。管理者アカウントはADから分離し、ESXiのシェルやSSHは通常時に無効化する（lockdown mode）。認証、メール、教務などの重要系は別クラスタまたはクラウドに分散する。 |
| 復旧用バックアップの多くも暗号化されたと報じられている | 3-2-1-1-0の考え方で、1つはイミュータブル（オブジェクトロック等）またはオフライン（テープ等）にする。バックアップ基盤の認証は本番ドメインから切り離す。四半期ごとに基盤全損からの復元訓練を行い、RTOを実測する。 |
| 病院系と学外のWeb出願サイトは分離されており、影響を受けなかった | 業務を重要度で分類し、止められない系（医療、入試、決済）は、ネットワーク・認証・仮想化基盤を他系統から分離する。分離が保たれているかを年1回のペネトレーションテストで確認する。 |
| 公式ドメインのWebとメールが止まり、臨時ドメイン omu.moe での案内が必要になった | 障害時用の代替ドメインと静的ステータスページを、外部ホスティングと別DNS事業者で平時から用意する。公式サイト、学生向け案内、アプリ、SNS公式アカウントで事前に告知する。フィッシング注意喚起の文面もテンプレート化しておく。 |
| 障害は運用委託事業者からの連絡で発覚した。メールは一度再開した後も、一部の系統が停止したままで、再送依頼も必要になった | ハイパーバイザ、バックアップ、ADの管理操作ログ（ログイン、スナップショット削除、データストア変更）をSIEMに集約し、深夜帯の管理者ログインや大量VM停止を即時アラートにする。委託先との契約に通報SLA（例：検知から30分以内にCSIRTへ連絡）を定める。メールは再開時に未達期間を算出して利用者へ告知し、停止中のアドレス群の復旧順序を事前に決めておく。 |
自組織などでの確認項目
- 自組織で仮想化基盤やクラウドの管理アカウントが乗っ取られた場合、同時に止まるシステムは何台・何業務か。止められない業務は別基盤に分離されているか。
- バックアップは本番と同じ認証基盤やネットワークから到達できないか。ドメイン管理者を奪われても消せないコピーはどこにあるか。
- 公式ドメインのWebとメールが同時に止まったとき、顧客や取引先に真正な情報を届ける経路は何か。その経路は事前に周知されているか。
- 運用委託事業者が異常を検知した場合、誰にどれだけの時間で連絡が届き、業務停止を誰が判断する取り決めか。メール再開後の未達分を利用者へ知らせる手順はあるか。
未解明点
- 初期侵入経路と侵入時期（境界機器、RDP、認証情報窃取、委託先経由など）
- 暗号化された仮想化基盤の製品名・バージョンと、悪用された脆弱性やCVEの有無
- 攻撃グループ名、身代金要求の有無、リークサイトへの掲載の有無
- 約13万人分の個人情報の外部流出の有無と、流出した場合の件数・項目
- バックアップの構成、暗号化を免れた分からの復元範囲、基盤全体の復旧時期
- 市大学生のメール、メーリングリスト、共有メールアドレスの再開時期
- 9月20日からのOMUメール遅延など、事前の事象と本件との関連
- フランス語の二次記事が記す10月3〜4日という発生日と、公式の10月2日0時30分ごろとの食い違いの理由
出典
- 1大阪公立大学（臨時お知らせサイト）2026-10-02公式本文確認済
- 2大阪公立大学（臨時お知らせサイト）2026-10-02公式本文確認済
- 3大阪公立大学（臨時お知らせサイト）2026-10-02公式本文確認済
- 4大阪公立大学（臨時お知らせサイト）2026-10-06公式本文確認済
- 5大阪公立大学（臨時お知らせサイト）2026-10-08公式本文確認済
- 6大阪公立大学（臨時お知らせサイト）2026-10-08公式本文確認済
- 7大阪公立大学（臨時お知らせサイト）2026-10-08公式本文確認済
- 8大阪公立大学（臨時お知らせサイト）2026-10-04公式本文確認済
- 9大阪公立大学2026-10-02公式本文確認済
- 10熊本日日新聞（共同通信配信）2026-10-02報道本文確認済
- 11ビジネス+IT2026-10-06報道本文確認済
- 12セキュリティ対策Lab（Rocket Boys）2026-10-03報道本文確認済
- 13セキュリティ対策Lab（Rocket Boys）2026-10-05報道本文確認済
- 14セキュリティ対策Lab（Rocket Boys）2026-10-08報道本文確認済
- 15NHK2026-10-09報道本文確認済
- 16innovaTopia2026-10-06報道本文確認済
- 17NOVAIST2026-10-06報道本文確認済
- 18公立大学法人大阪（臨時お知らせサイト）2026-10-08公式本文確認済
- 19The Record2026-10-07報道未確認
- 20NHK2026-10-02報道未確認
- 21セキュリティ対策Lab（ロケットボーイズ）2026-10-03報道本文確認済
- 22セキュリティ対策Lab（ロケットボーイズ）2026-10-05報道本文確認済
- 23熊本日日新聞社（共同通信配信）2026-10-09報道本文確認済
- 24Ayi NEDJIMI Consultants2026-10-07報道本文確認済