国際武道大学の委託先への不正アクセス（卒業生・元履修学生 約120人の個人情報が漏えい）
公表日
国際武道大学がIT保守を任せている会社への不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。により、2019年度に教職課程の介護等体験を履修した学生約120人の氏名や住所などが漏えいしたと発表しました。
対象者は？
2019年度に教職課程の介護等体験を履修した学生約120人（報道では「卒業生」と表現）。漏えいしたのは学籍番号、氏名、氏名カナ、生年月日、電話番号、住所（2019年度当時の居住地）です。報じられた範囲では、パスワードやクレジットカード情報、口座情報は含まれていません。
個別に対象かどうかを確認する方法は、確認できた情報には書かれていません。該当する年度に履修した方は、大学の公式発表や大学からの連絡をご確認ください。
いますぐできること
- 身に覚えのない電話や郵送物には、個人情報を答えたり応じたりしない。
- 該当する可能性がある方は、大学からの案内や公式発表を確認する。
- 大学や関係機関を名乗る不審な連絡は、折り返す前に大学の公式な連絡先で本物か確かめる。
何が起きたのか
国際武道大学が、IT業務やネットワークの保守を任せている会社の社内ネットワークに、外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。がありました。会社は2025年11月上旬に不審なアクセスに気づき、すぐにサーバーをネットワークから切り離しました。11月中旬には、大学のデータが流出した形跡は見当たらないと大学に伝えていました。調査を続けた結果、2026年2月16日に、学生の個人情報が書かれたファイルが流出していたと分かり、大学に報告がありました。大学は3月18日にこのことを発表しました。大学のネットワーク自体が直接攻撃されたのではなく、委託先の会社が起点とされています。
なぜ起きたのか・なぜ広がったのか
委託先の会社への不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が起点とされていますが、侵入の方法や原因は、確認できた情報では発表されていません。最初は流出が見当たらないと報告され、その後の調査で流出が分かった経緯があります。なぜ判断が変わったかの詳しい説明は、まだ見つかっていません。
いまの状況2026-04-01 時点続報待ち
2026年4月1日時点の報道では、不正利用は確認されていないとされています。大学は、電話や郵送によるなりすましや不審な連絡に注意するよう呼びかけています。侵入の手口、再発防止策、補償や問い合わせ窓口については、まだ発表されていません。
企業として考えたいこと
あなたの会社が業務を任せている委託先に、どんな個人情報がいつまで預けられているか、また委託先で問題が起きたときに何日以内に連絡が来る取り決めになっているか、説明できるでしょうか。
技術的な要約
国際武道大学は2026年3月18日、IT業務およびネットワークシステムの保守を委託している事業者の社内ネットワークが外部から不正アクセスを受け、卒業生の個人情報の一部が漏えいしたと公表した。大学本体のネットワークが直接侵害されたのではなく、委託先への不正アクセスに端を発する。委託先は2025年11月上旬に社内サーバへの不審なアクセスを検知してサーバを隔離し、11月中旬には大学のデータ流出は見受けられないと報告していたが、調査継続の結果、2026年2月16日に電子ファイルの流出が判明したと大学に報告した。対象は2019年度に教職課程の介護等体験を履修した学生約120人で、学籍番号、氏名、氏名カナ、生年月日、電話番号、住所（2019年度当時の居住地）が含まれる。現時点で不正利用は確認されていないが、大学はなりすましや不審な接触への注意を促している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 委託先経由報道・研究者大学本体のネットワークが直接侵害されたのではなく、IT業務やネットワークシステムの保守を委託している会社の社内ネットワークが外部から不正アクセスを受けたことに端を発する。委託先への具体的な侵入手口は facts に記載がない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止に関する記載は facts にない。
- データ
- 確定上限 120確定 120人氏名生年月日電話住所その他対象は2019年度に教職課程の介護等体験を履修した学生約120人。漏えい項目は学籍番号、氏名、氏名カナ、生年月日、電話番号、住所（2019年度当時の居住地）。報道により「卒業生」と表現される。約120人は出典の概数。現時点で不正利用は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- IT業務およびネットワークシステムの保守を委託している事業者の社内ネットワークが不正アクセスを受け、委託元である国際武道大学の学生情報を含む電子ファイルが流出した。
時系列
- 2025-11委託先が社内サーバへの不審なアクセスを検知し、直ちにサーバをネットワークから隔離するなどの初動対応を実施した。2
- 2025-1111月中旬の時点で、委託先から大学へ、大学のデータ流出は見受けられないとの報告が行われた。2
- 2026-02-16調査継続の結果、委託先から大学へ、学生の個人情報の一部が記載された電子ファイルが流出していることが判明したと報告があった。2
- 2026-03-18
- 2026-03-18
- 2026-03-18漏えい項目が学籍番号、氏名、氏名カナ、生年月日、電話番号、住所（2019年度当時の居住地）であることが示された。2
- 2026-03-18現時点で不正利用は確認されていないが、大学が電話や郵送を使ったなりすましや不審な接触への注意を促した。2
- 2026-03-19セキュリティ対策Labが本件を解説する記事を掲載した。2
- 2026-03-30ScanNetSecurityが、委託先への不正アクセスで卒業生約120名の個人情報が漏えいしたと報じた。3
- 2026-04-01セキュリティ対策Labが2026年3月の個人情報漏洩事例まとめの中で本件を取り上げた。1
技術解説
公表された事実の整理 事実
国際武道大学は2026年3月18日、IT業務およびネットワークシステムの保守を委託している事業者の社内ネットワークが外部から不正アクセスを受け、卒業生の個人情報の一部が漏えいしたと公表した。大学本体のネットワークが直接侵害されたのではなく、委託先の社内ネットワークへの不正アクセスに端を発するとされる。対象は2019年度に教職課程の介護等体験を履修した学生約120人で、漏えい項目は学籍番号、氏名、氏名カナ、生年月日、電話番号、住所（2019年度当時の居住地）である。現時点で不正利用は確認されていないが、大学は電話や郵送を使ったなりすましや不審な接触への注意を促している。
検知から流出判明までの経過 事実
委託先は2025年11月上旬に社内サーバへの不審なアクセスを検知し、直ちにサーバをネットワークから隔離するなどの初動対応を実施した。11月中旬の時点では、大学のデータ流出は見受けられないとの報告が委託先から大学に行われていた。その後、調査継続の結果、2026年2月16日に委託先から、学生の個人情報の一部が記載された電子ファイルが流出していることが判明したと大学に報告があった。大学の公表は同年3月18日である。委託先への具体的な侵入手口、攻撃者、侵入開始日は、確認できた情報には記載がない。
初期報告と後日判明の差をどう読むか 解釈
11月中旬の「流出は見受けられない」との報告が、2月に電子ファイルの流出判明へ変わった点は、調査が段階的に進んだ結果である可能性がある。ただし、調査の方法や範囲、判断が変わった理由は公表されておらず、原因を断定することはできない。委託先の侵害では、委託元が自組織のデータの所在や流出有無を直接確かめにくく、委託先からの報告に判断を頼る構図になりやすいと考えられる。初期の暫定報告をどの確度で受け止め、いつ再確認するかが、委託元にとっての論点になりうる。
長期保有データと委託先管理の論点 解釈
今回の対象は2019年度の履修者の情報であり、卒業後も保有されていたデータが影響を受けた形である。報道記事の一つは、卒業後も長期保有されるデータが流出した点を、利用目的達成後の速やかな削除という原則を意識させると評している。また同記事は、委託先が漏洩を起こした場合でも個人情報保護法上、委託元に報告義務・通知義務が課されると解説している。これらを踏まえると、委託先に渡すデータの範囲と保存期間を委託元が把握し続けることが、被害規模を左右する要素になりうる。ただし本件で実際にどう管理されていたかは公表されていない。
対応
- 封じ込め
- 委託先が2025年11月上旬に社内サーバへの不審なアクセスを検知し、直ちにサーバをネットワークから隔離するなどの初動対応を実施した。
- 公表の仕方
- 2026年3月18日に国際武道大学が公表。委託先の調査で2026年2月16日に電子ファイルの流出が判明して大学へ報告があり、公表はその約1か月後。11月中旬には流出は見受けられないとの報告が先行していた。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先の侵害は、委託元のデータ流出の有無を直接確認しにくい。 | 委託契約に、侵害検知時の通知期限、暫定報告と確定報告の区別、調査完了までの定期報告を明記する。委託先から受け取るログやファイル一覧の提出を求められるようにしておく。 |
| 初期の「流出なし」報告が後で覆る可能性がある。 | インシデント管理票で報告を「暫定」「確定」に区分し、暫定報告のままの案件は期限を決めて再確認する。委託先に、対象サーバ上のデータ棚卸しの結果を書面で提出させる。 |
| 卒業後も古い個人情報が保管されていると、被害対象が広がる。 | データ分類ごとに保存期間を定め、委託先環境に置くデータも含めて期限到来時に自動削除またはアーカイブ隔離するジョブを設ける。削除結果を年次で委託先から報告させる。 |
| 委託先に置く個人情報は、必要最小限でなければ流出時の影響が大きくなる。 | 委託先へ渡す項目を業務要件から見直し、学籍番号以外の識別項目は仮名化またはマスキングする。保守作業用データは本番の複製ではなく加工済みのものを使う。 |
| 委託先経由の事案でも、委託元が本人通知と注意喚起を担う。 | 流出判明時に使う通知文面と対象者抽出手順を事前に用意し、連絡先の最新化を定期的に行う。なりすまし電話や郵送への注意喚起を含めて訓練で確認する。 |
自組織などでの確認項目
- 委託先に渡している個人情報の項目と保存期間を、自組織はすべて把握しているか。卒業・退会・契約終了後の古いデータは委託先環境に残っていないか。
- 委託先から「流出は見受けられない」という暫定報告を受けたとき、自組織では誰がいつ再確認するか。確定報告を受けるまでの手順は決まっているか。
- 委託先で不審なアクセスが検知された場合、自組織に何日以内に連絡が来る契約になっているか。連絡経路と夜間・休日の窓口は確認済みか。
未解明点
- 委託先への具体的な侵入手口と、侵入が始まった時期は公表されているのか。
- 11月中旬の「流出は見受けられない」との報告が、2月に変わった理由と調査内容は何か。
- 約120人分のデータが委託先環境に置かれていた経緯と、保存期間の定めはどうだったのか。
- 攻撃者の特定や犯行声明の有無、個人情報保護委員会など当局への報告状況はどうなっているのか。
- 再発防止策や、対象者への個別通知・問い合わせ窓口の内容はどうなっているのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-04-01報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-03-19報道本文確認済
- 3ScanNetSecurity2026-03-30報道本文確認済