同志社大学キャリアセンター筆記試験対策ポータルへのランサムウェア攻撃（学生メールアドレス流出の可能性・サービス停止）
公表日
同志社大学キャリアセンターの学生向け「筆記試験対策ポータル」を運用するサーバーでランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。被害が確認され、利用登録時に入力された大学発行のメールアドレスが流出した可能性があります。対象人数は発表されていません。
対象者は？
筆記試験対策ポータルの利用登録時に、大学発行のメールアドレスを入力した学生が対象となる可能性があります。報道によれば、卒業・修了した利用者の当時のメールアドレスはすでに無効化されています。対象人数はまだ発表されていません。メールアドレス以外の情報が含まれるかは、確認できた範囲では示されていません。
個別の通知があるかどうかは、確認できた範囲では示されていません。キャリアセンターのお知らせ「【重要】筆記試験対策ポータルに関するシステム障害および情報漏えいの可能性について」を確認してください。
いますぐできること
- 身に覚えのないメールは開かず、本文中のリンクもクリックしない。
- ポータルを使っていた人は、キャリアセンターのお知らせを確認し、サービス再開の案内を待つ。
- 大学を名乗るメールが届いたら、お知らせに載っている公式の窓口で内容を確かめる。
何が起きたのか
2026年4月19日、同志社大学キャリアセンターが学生向けに提供する筆記試験対策ポータルのサーバーで、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が確認されました。サーバーには、利用登録時に学生が入力した大学発行のメールアドレスが保存されていました。大学は2026年8月19日にお知らせを掲載してこの件を公表し、サービスを停止しています。報道によれば、このポータルの開発元であるノストラムも4月にランサムウェア被害を公表しており、福岡大学も同社のサーバーを通じて学生情報が流出した可能性があると発表しています。ただし、同志社大学の発表自体は運用事業者名を明記していません。
なぜ起きたのか・なぜ広がったのか
侵入経路、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の種類、攻撃者は、同志社大学の発表では明らかにされていません。報道では開発元ノストラムがVPN経由で侵入されたと公表したとされますが、同志社大学の件として直接確認された事実ではありません。公表までに約4か月かかった理由も、まだ発表されていません。
いまの状況2026-10-14 時点続報待ち
大学は専門業者と連携して影響範囲の調査とインターネット上の監視を続けています。これまでのところ、対象情報がインターネット上で公開された事実は確認されていないと説明しています（7月27日12時時点でも公開されていなかったとのことです）。サービスの再開時期は未定で、決まり次第、在学生に案内するとしています。大学は、現時点で直ちに必要な対応はないとしつつ、不審なメールの開封やリンクのクリックを控えるよう呼びかけています。個人情報保護委員会や警察への報告の有無は、確認できた範囲では示されていません。
企業として考えたいこと
自社が外部のサービスや委託先に預けているお客様や従業員の情報には何があり、その委託先が被害にあったとき、何日以内に自社への影響を確かめて利用者に知らせられますか。
技術的な要約
同志社大学キャリアセンターは2026年8月19日、学生向け「筆記試験対策ポータル」を運用するサーバーでランサムウェアによる不正アクセスが2026年4月19日に確認されたと公表し、サービスを停止した。サーバーには利用登録時に学生が入力した大学発行のメールアドレスが保存されており、流出の可能性を完全には否定できないとしている。インターネット上で対象情報が公開された事実は確認されておらず、対象人数・侵入経路・ランサムウェアの種類・攻撃者は公表されていない。大学は専門業者と連携して影響範囲の調査とネット上の監視を継続しており、サービス再開時期は未定である。報道では、同ポータルは「SMART SPI」とされ、開発元ノストラムも4月にランサムウェア被害を公表し、福岡大学など他大学にも影響が及んだとされる。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明同志社大学の公表では侵入経路は明らかにされていない。報道によれば、開発元ノストラムは4月19日午前5時頃にVPN経由でネットワークにランサムウェアが侵入したと公表しているが、同志社大学の事案として直接確認された事実としては扱えない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 筆記試験対策ポータルのサービスを停止。再開時期は未定で、決定後に在学生へ案内するとしている。期間：継続中（再開時期未定）
- データ
- おそれ上限 —確定 —メール利用登録時に学生が入力した同志社大学発行のメールアドレスが保存されており、流出の可能性を完全には否定できないとしている。対象人数は非公表。インターネット上で公開された事実は確認されていない（7月27日12時時点でも公開されていなかったと説明）。卒業・修了者の当時のメールアドレスは無効化済み。
- 波及先
- —
- 福岡大学（委託先ノストラムのサーバー経由で学生情報が流出した可能性、最大33,668人。同志社大学の件数としては扱えない）
- 金銭影響
- —
- サプライチェーン
- 報道によれば、同ポータルは開発元ノストラムの「SMART SPI」とされ、ノストラムが4月に公表したランサムウェア被害と関連する。ただし8月19日の同志社大学のリリース自体は運用事業者名・サービス名を明記していない。
時系列
- 2026-04-17福岡大学の発表によれば、外部攻撃者が委託先ノストラムのネットワークへ侵入し、ファイルを暗号化してバックドアを構築していた（調査で判明）。2
- 2026-04-19 05:00ノストラムの発表によれば、午前5時頃にVPN経由でネットワークにランサムウェアが侵入し、サーバー内の一部データが暗号化されて起動できなくなった。2
- 2026-04-19同志社大学の筆記試験対策ポータルを運用するサーバーに対するランサムウェアによる不正アクセスが確認された。2
- 2026-05-08ノストラムがランサムウェア被害を公表した。2
- 2026-07-09福岡大学が委託先ノストラムのサーバーへの不正アクセスにより学生情報が流出した可能性があると公表した（最大33,668人）。2
- 2026-07-27 12:00大学の説明によれば、この時点でも対象情報はインターネット上に公開されていなかった。2
- 2026-08-19
- 2026-08-20セキュリティ対策Labが同志社大学の事案を報じた。2
- 2026-10-05キャリアセンターのニュース一覧に「WEBテスト対策アプリ利用開始のお知らせ」（先着1,500名限定）が掲載された。1
技術解説
大学の公表内容と確認されている範囲 事実
同志社大学キャリアセンターは2026年8月19日、学生向けの筆記試験対策ポータルでランサムウェアによる不正アクセスが発生し、サービスを停止していると公表した。不正アクセスが確認されたのは4月19日で、対象は同ポータルを運用するサーバーである。サーバーには利用登録時に学生が入力した大学発行のメールアドレスが保存されており、大学は流出の可能性を完全には否定できないとしている。インターネット上で対象情報が公開された事実は確認されておらず、7月27日12時時点でも公開されていなかったと説明している。対象人数、侵入経路、ランサムウェアの種類、攻撃者は同志社大学の公表では明らかにされていない。
開発元ノストラムと福岡大学をめぐる報道 事実
報道によれば、同ポータルは同大学の2026年度キャリアガイドで「SMART SPI」と案内されている。一方、8月19日のリリース自体は運用事業者名やサービス名を明記していない。開発元の株式会社ノストラムは5月8日、4月19日午前5時頃にVPN経由でネットワークにランサムウェアが侵入し、サーバー内の一部データが暗号化されたと公表したとされる。福岡大学は7月9日、委託先ノストラムのサーバーへの不正アクセスで学生情報が流出した可能性を公表し、最大3万3,668人が対象となり得ると説明した。ただしVPN経由という経路は同志社大学の事案として直接確認された事実としては扱えず、福岡大学の人数も同志社大学の影響件数ではない。
委託先の被害が波及した構図としての読み取り 解釈
同志社大学の事案は、サービス名や不正アクセス確認日が開発元ノストラムの被害報道と重なっている。このため、委託先の環境で起きた被害が複数の大学に及んだ事案の一つである可能性がある。ただしこれは報道と日付の符合に基づく読み取りであり、大学自身が委託先との関係を公式に明記したことは確認できていない。仮にこの構図であれば、大学側の運用サーバーが直接侵入されたのか、委託先の環境にデータが置かれていたのかによって、必要な対策や責任範囲の整理は異なる。現時点の公開情報では、この区別を判断できない。
公表時期と利用者への情報提供のあり方 解釈
不正アクセスが確認された4月19日から8月19日の公表まで約4か月あり、この間の調査経緯や流出の可能性を認識した時期は明らかにされていない。理由は公表されておらず、委託先の調査結果を待っていた場合など複数の事情があり得るため、遅れと断定はできない。一方、保存されていたのはメールアドレスで、大学は直ちに必要な対応はないとしつつ不審メールへの注意を求めている。利用者の側は、いつ何が起きたかを知る手がかりが限られる。対象範囲や調査経過が今後示されれば、利用者が状況を判断しやすくなると考えられる。
対応
- 封じ込め
- 筆記試験対策ポータルのサービスを停止。専門業者と連携して影響範囲の調査とインターネット上の監視を継続し、関係部署と利用再開・再発防止に向けた対応を進めている。利用者には、現時点で直ちに必要な対応はないとしつつ、不審なメールの開封やリンクのクリックを控えるよう呼びかけている。
- 公表の仕方
- 2026年8月19日にキャリアセンターのお知らせ（重要区分）で公表。不正アクセス確認（4月19日）から約4か月経過しており、その間の調査経緯や流出の可能性を認識した時期は明らかにされていない。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先・外部サービスに預けている学生や顧客の情報が何か把握していないと、委託先の被害時に影響範囲を素早く説明できない。 | 外部サービスごとに、保存されるデータ項目、対象人数の概算、保持期間、運用事業者名を一覧化した台帳を作り、四半期ごとに更新する。契約には侵害時の通知期限とログ提供を明記する。 |
| サービス名や運用事業者を公表文に書かないと、利用者や他組織が関連する事案と結びつけて判断しにくい。 | インシデント公表のテンプレートに、運用事業者名、サービス名、委託先の被害との関係の有無を必須項目として加える。法務・広報と事前に開示基準を合意しておく。 |
| メールアドレスのみの流出でも、フィッシングの標的に使われる可能性がある。 | 流出の可能性がある宛先に、公式な連絡経路と差出人の見分け方を事前に周知する。メールゲートウェイでSPF・DKIM・DMARCの検証を強制し、学内ドメインをかたる外部送信を検知するルールを入れる。 |
| VPNなど外部から接続できる経路は、委託先の環境でも侵入口になり得る（報道ベースで、同志社大学の事案としては未確認）。 | 委託先に対し、VPN機器のパッチ適用状況、多要素認証の有無、外部接続ログの保管期間を年次で確認する。自組織側でも委託先接続用アカウントを個別発行し、不要時は無効化する。 |
| 確認から公表まで時間があくと、その間の調査経緯が見えず、利用者の判断材料が不足する。 | 調査中でも、確認日、現時点で分かっていること、分かっていないこと、次回更新予定日を示す暫定公表の手順を整備する。ダークウェブ監視の結果も、更新のたびに日付つきで記録する。 |
自組織などでの確認項目
- 自組織が外部サービスに預けている個人情報の項目と対象人数を、委託先ごとにすぐ答えられるか。台帳は最新か。
- 委託先がランサムウェア被害を公表した場合、自組織のデータが含まれるかを何日以内に確認できるか。連絡窓口と通知期限は契約に書かれているか。
- 利用者のメールアドレスだけが流出した可能性が出たとき、利用者に何を、どの経路で、いつまでに案内するか。偽の案内メールと見分けてもらう方法は決まっているか。
- サービスを停止した場合の再開判断の基準と、利用者への案内の担当者は決まっているか。
未解明点
- 対象となる利用者の人数と、在学生・卒業修了者それぞれの内訳。
- 侵入経路、ランサムウェアの種類、攻撃者の特定状況。
- 同ポータルの運用サーバーと開発元ノストラムの被害の関係を、大学が公式にどう整理しているか。
- 4月19日の確認から8月19日の公表までの調査経緯と、流出の可能性を認識した時期。
- 個人情報保護委員会や警察への報告の有無。
- サービスの再開時期と、再発防止策の具体的内容。
出典
- 1同志社大学キャリアセンター公式本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-20報道本文確認済