早稲田大学「MyWaseda」ユーザー情報管理システムへの不正アクセス（約3,400件の個人情報流出）
公表日
早稲田大学の学内ポータル「MyWaseda」のユーザー情報管理システムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、教職員や学生、卒業生などの個人情報延べ3,342件が不当に取得されたことが公表されました。
対象者は？
MyWasedaを利用する教職員（退職者を含む）、学生、卒業生の一部。氏名、Wasedaメールアドレス、資格名、暗号化されたパスワードなどが含まれます（入試志願者やオープンカレッジ受講生の情報への影響は現時点で確認されていません）。
在学生・教職員は大学からの個別の案内を確認してください。また、卒業生向けサービスの一時停止状況等については大学公式サイトのお知らせを確認してください。
いますぐできること
- 早稲田大学の在学生および教職員は、大学からの案内に従ってWasedaメールアドレス等のパスワード変更を行ってください。
- 学内サービスと同じパスワードを他のWebサービスやアプリでも使い回している場合は、直ちにそれらのサービスのパスワードを変更してください。
- 大学や関係機関を装った不審なメールやフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。詐欺に注意し、心当たりのない連絡に含まれるリンクや添付ファイルを安易に開かないでください。
何が起きたのか
2026年11月9日、早稲田大学はポータルサイト「MyWaseda」のログインに使うユーザー情報管理システムに第三者が侵入し、個人情報が不正に取得されていたと発表しました。PHPの脆弱性への対応に伴いシステムを確認していたところ、2026年8月31日に行われた不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。の痕跡が発見されました。調査の結果、教職員や学生、卒業生などの情報延べ3,342件（暗号化されたパスワードを含む）が取得されていたことが確認されました。
なぜ起きたのか・なぜ広がったのか
PHPの脆弱性への対応点検で不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。の痕跡が発見されましたが、PHPの脆弱性が実際に侵入に利用されたのか、あるいは別の侵入経路があったのかについてはセキュリティ専門事業者と調査中であり、詳細な原因はまだ公表されていません。
いまの状況2026-11-10 時点続報待ち
大学は関連システムの停止、学外との通信制限、管理者パスワードの変更を実施しました。また、安全性が確認できるまで卒業生向けのMyWasedaやWasedaメール、証明書発行などのサービスを一時停止しています。在学生や教職員には個別にパスワード変更を案内しており、外部のセキュリティ専門事業者と侵入経路や影響範囲の詳細調査を進めています。
企業として考えたいこと
自社の基幹システムや認証基盤において、ミドルウェアの脆弱性対応を行う際、パッチ適用だけでなく過去の侵入痕跡まで遡って点検できる監視ログや運用手順が整備されているでしょうか。
技術的な要約
早稲田大学は2026年11月9日、学内ポータルサイト「MyWaseda」へのログインに用いるユーザー情報管理システムが第三者による不正アクセスを受け、延べ3,342件（約3,400件）の個人情報が不当に取得されたと発表した。プログラミング言語PHPの脆弱性への対応に伴うシステム点検の過程で、2026年8月31日に行われた不正アクセスの痕跡が確認されたことで事案が判明した。取得された情報には教職員、学生、卒業生等の氏名やメールアドレスのほか、延べ3,281件の暗号化されたパスワードが含まれる。大学は関係システムの停止、学外通信の制限、管理者パスワード変更を実施し、卒業生向けサービスを一時停止した。現在は外部セキュリティ専門事業者と連携して侵入経路の詳細調査を進めるとともに、関係機関への報告・相談を行っている。
攻撃の分類
- 侵入口
- 不明PHP脆弱性への対応を契機とした点検で2026年8月31日の不正アクセス痕跡が発見されたが、PHPの脆弱性が実際の侵入に利用されたかや具体的な侵入経路は公表されておらず、セキュリティ専門事業者と調査中。
- 脆弱性
- CVE 非公表公表で確認PHPPHPの脆弱性への対応を契機としてシステム状況を確認する中で不正アクセスの痕跡が発見された。実際の侵入に利用されたかは未公表。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 安全性が確認できるまで、卒業生がWaseda IDで利用するMyWaseda、Wasedaメール、証明書発行などのサービスを一時停止。
- データ
- 確定上限 3,342確定 3,342件氏名メール暗号化PWその他延べ3,342件（約3,400件）。内訳は個別情報計81件（氏名・資格名38件、氏名・資格名・Wasedaメールアドレス23件、氏名・暗号化パスワード20件）と、職員等ユーザー情報3,261件（教職員番号、氏名、Wasedaメールアドレス、所属部署名、資格名、暗号化パスワードの6項目一体）。パスワードは暗号化状態で保存されていた。同一利用者が複数メールアドレスを持つ場合があり実人数とは一致しない。入試志願者やオープンカレッジ受講生への影響は未確認。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-08-31
- 2026-10-22早稲田大学が「PHPの脆弱性対応に伴う一部サービスへのアクセス制限について」を公表し、MyWasedaなど一部サービスに予防的制限や緊急メンテナンスを実施8
- 2026-11-09
- 2026-11-09
- 2026-11-09
- 2026-11-09
- 2026-11-09
- 2026-11-10 10:12
技術解説
発覚の経緯と流出した認証データの内訳 事実
早稲田大学は2026年11月9日、学内ポータル「MyWaseda」のログインに用いるユーザー情報管理システムに第三者が不正アクセスし、個人情報延べ3,342件（約3,400件）が取得されたと発表した。この事案は、プログラミング言語PHPの脆弱性対応に伴うシステム点検の過程で、2026年8月31日に行われた不正アクセスの痕跡が確認されたことで判明した。取得された情報の内訳は、教職員（退職者を含む）、学生、卒業生等に関する個別情報計81件（氏名・資格名38件、氏名・資格名・Wasedaメールアドレス23件、氏名・暗号化パスワード20件）と、職員等ユーザー情報3,261件（教職員番号、氏名、Wasedaメールアドレス、所属部署名、資格名、暗号化パスワードの6項目一体）である。合計で延べ3,281件の記録に暗号化されたパスワードが含まれていたが、平文ではなく暗号化された状態で保存されていた。同一利用者が複数アドレスを持つ場合があり実人数とは一致しない。なお、入試志願者やオープンカレッジ受講生への影響は現時点で確認されていない。
脆弱性対応時の点検による過去侵入の顕在化と潜伏リスク 解釈
本件の特徴は、侵入発生日とされる2026年8月31日から公表の11月9日まで約2か月以上の期間が経過しており、外部からの通報やアラートによる即時検知ではなく、PHPの脆弱性対応に伴うシステム点検を契機に痕跡が発見された点にある。攻撃者はユーザー情報管理システムに侵入した後に即座に大規模な破壊やランサムウェアの展開を行わず、認証情報の取得にとどまったため、通常運用中の異常検知をすり抜けた可能性がある。一方で、脆弱性パッチの適用作業において単なるアップデート作業で終わらせず、過去のアクセスログやシステムの整合性を点検したことが、埋もれていた侵害痕跡の特定につながったといえる。脆弱性情報が公開された際には、既知の欠陥を塞ぐだけでなく、脆弱性の公表前後に遡って不正なアクセスや悪用の形跡が存在しないかを検証する遡及調査プロセスの重要性を示す事例といえる。
認証情報漏えいに伴う二次被害リスクと遮断対応 解釈
漏えいしたデータには教職員3,261件の一体情報を含め、延べ3,281件の暗号化パスワードが含まれていた。パスワード自体は平文ではなく暗号化保存されていたものの、教職員番号や氏名、メールアドレスなどの属性情報とセットで取得されているため、暗号強度が不十分な場合の解読リスクや、標的型攻撃（フィッシング詐欺やビジネスメール詐欺）への悪用リスクが生じる。大学側は判明後、関係システムの停止や学外通信制限、管理者パスワード変更を実施し、在学生・教職員に対してメールのパスワード変更を個別案内するとともに、卒業生が利用する各種サービスを一時停止した。認証基盤への侵害が確認された段階で、影響が及ぶ可能性があるアカウントの権限やアクセス経路を迅速に切り離し、学内中核サービスへのなりすましログインや横展開を抑止した対応は、被害拡大を最小限に抑える上で適切な措置であったと考えられる。
対応
- 封じ込め
- 関係システムの停止、学外との通信・アクセス制限、システム管理者のパスワード変更、卒業生が利用するWaseda ID関連サービス（MyWaseda、Wasedaメール、証明書発行等）の一時停止などの措置を講じた。
- 公表の仕方
- 2026年11月9日に公式ホームページにて不正アクセスによる個人情報漏えいを公表。在学生や教職員にはWasedaメールアドレスのパスワード変更等の対応を個別に案内した。
- 当局対応
- 関係機関への報告・相談
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 脆弱性対応時における過去の不正アクセス痕跡の遡及調査 | ミドルウェアやOSSの脆弱性パッチ適用手順に、パッチ適用だけでなく、脆弱性公表前に遡ったWebアクセスログやWAFログの精査、および不審なWebシェルやスクリプトが配置されていないかファイル整合性検査を実施する工程を義務付ける。 |
| 認証情報（パスワード）の安全な保存と暗号化強度の確保 | ユーザー認証データベースに保存するパスワードは可逆暗号や強度の低いハッシュ方式を排除し、十分なストレッチングとソルトを伴う強固な不可逆ハッシュアルゴリズム（Argon2idやPBKDF2等）を用いて格納する。 |
| ユーザー管理基盤・認証サーバーへのネットワークアクセス制限 | ポータルサイトや認証管理システムをインターネットへ直接露出させず、管理セグメントへの通信は踏み台サーバー経由かつ多要素認証（MFA）を必須とし、学外からのアクセス元IP制限やゼロトラストアクセス制御（ZTNA）を適用する。 |
| アカウント種別に応じた迅速なアクセス遮断・セッション無効化体制 | ID管理基盤において、学生・教職員・卒業生など属性ごとの権限グループを分離し、侵害検知時に特定の属性や影響アカウントに対して即座にセッション切断、パスワード強制リセット、学外アクセス一時無効化を一括適用できる運用自動化スクリプトを準備する。 |
自組織などでの確認項目
- 自組織の公開サーバーで利用しているミドルウェア（PHPやWebサーバー等）の脆弱性情報が公開された際、単にパッチを適用するだけでなく、過去に遡って悪用された形跡がないかをログ等から点検する運用フローが存在するか。
- 認証基盤やユーザー管理データベースに格納されているパスワード等の機微情報は、万が一データが外部に持ち出されても即座に解読されない強固なハッシュ化方式（ソルト付き等）で保存されているか。
- アカウント情報や認証システムの侵害が疑われた際、管理者パスワードの変更や特定ユーザー層（退職者・卒業生・外部委託先等）の外部アクセス遮断を即座に実施できる緊急対応手順が整備されているか。
未解明点
- 2026年8月31日の不正アクセスにおいて、攻撃者が利用した具体的な侵入経路（点検契機となったPHPの脆弱性が直接悪用されたのか、あるいは別の経路から侵入されたのか）および関連するCVE番号。
- 流出した延べ3,281件のパスワードに適用されていた具体的な暗号化方式（ハッシュ関数名、ソルトやストレッチングの有無、または可逆暗号方式か）の詳細。
出典
- 1株式会社アクト2026-11-09報道本文確認済
- 2早稲田大学2026-11-09公式本文確認済
- 3産経ニュース2026-11-10T10:12+09:00報道本文確認済
- 4ライブドアニュース2026-11-09報道本文確認済
- 5産経新聞2026-11-10報道本文確認済
- 6ABEMA TIMES2026-11-09報道本文確認済
- 7ITmedia NEWS2026-11-09報道本文確認済
- 8セキュリティ対策Lab2026-11-09報道本文確認済
- 9ABEMA TIMES2026-11-09報道本文確認済
- 10早稲田大学2026-11-09公式本文確認済