日本大学の教職員アカウントへのフィッシングによる乗っ取り（法学部で不審メール3,177件送信、個人情報閲覧の可能性）
公表日
日本大学法学部の教職員1名のメールアカウントがフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。で乗っ取られ、学内外へ3,177件の不審メールが送られた。保存されていた個人情報が取得された可能性があるが、人数や項目は公表されていない。
対象者は？
法学部の当該アカウントのメールボックスに保存されていた個人情報の持ち主（対象人数・項目は未公表）と、不審メールを受け取った学内外の人。確認された被害として、金銭的被害や情報の不正利用の報告は8月25日時点でありません。
大学は個別に連絡することが難しいとして、公表をもっておわびと報告に代えています。公式のお知らせと報道の内容を確認してください。同じ大学の教員5名の事案では、連絡先が特定できる対象者に個別連絡が行われています。
いますぐできること
- 差出人が日本大学の教職員名でも、心当たりのないメールのURLはクリックせず、添付ファイルも開かずに削除する。
- 日本大学を名乗る不審なメールが届いたら、本文のリンクからではなく、大学の公式サイトで内容を確認する。
何が起きたのか
2026年8月3日15時30分頃、日本大学法学部の教職員1名がフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールのリンクをクリックし、アカウント情報を盗まれたとされています。第三者がそのIDとパスワードでメールにログインし、連絡先に登録されていた学内外のアドレスへ3,177件の不審メールを送りました。大学は8月7日17時50分頃に気づき、アカウントを止めてパスワードを変え、外部への送信を遮断しました。8月25日に公表されました。同じ大学では、理工学部や教員5名（不審メール1,333件）のアカウント乗っ取りも公表されています。
なぜ起きたのか・なぜ広がったのか
大学は、巧妙に偽装されたフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールによるアカウント乗っ取りが原因と説明しています。端末にウイルス感染の形跡は確認されていません。乗っ取られたアカウントの連絡先が宛先に使われたため、メールが学内外へ広がりました。複数の事案が同じ攻撃者や同じ手口によるかは、確認されていません。
いまの状況2026-10-05 時点続報待ち
2026年10月5日時点で、法学部の対象人数・項目はまだ発表されていません。大学は個人情報保護委員会と文部科学省などへ報告済みです。再発防止策として、パスワード管理の厳格化、多要素認証（MFA）パスワード（知っているもの）に加えて、スマートフォンへの通知やコード（持っているもの）、指紋や顔（体の特徴）など、別の種類の確認を組み合わせるログイン方式です。パスワードが漏れても、それだけではログインされにくくなります。の導入推進、情報セキュリティ教育の再徹底が挙げられています。
企業として考えたいこと
自社でメールアカウントが乗っ取られたとき、メールボックスに保存された個人情報の範囲と、閲覧されたかどうかを、どのくらいの時間で確認できるでしょうか。
技術的な要約
日本大学法学部は2026年8月25日、教職員1名のメールアカウントがフィッシング攻撃で第三者に不正利用され、学内外へ3,177件の不審メールが送信されたと公表した。事案は8月3日15時30分頃に発生し、8月7日17時50分頃に検知された。教職員がフィッシングメールのリンクをクリックしてアカウント情報を窃取され、第三者が正規の認証情報で不正アクセスしたとされる。メールボックス内の個人情報が取得された可能性は完全には否定できないが、対象人数や項目は公表されておらず、8月25日時点で不正利用や金銭的被害の報告は確認されていない。同じ日本大学では、理工学部（9月8日公表）や教員計5名のアカウント（9月14日公表、不審メール1,333件）でも類似事案が公表された。再発防止策として多要素認証の導入推進などが挙げられている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- フィッシング報道・研究者教職員がフィッシングメールのリンクをクリックしてアカウント情報を窃取され、第三者が正規の認証情報でメールアカウントへ不正アクセスした（法学部の事案）。大学は「巧妙に偽装されたフィッシングメールによるアカウント乗っ取り」と説明。当該端末にウイルス感染の形跡は確認されていない。教員5名の事案でも、フィッシングメール等で認証情報が窃取されたことが原因と考えられるとされている。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 中核業務の停止は公表されていない。不審メールの外部送信は遮断された。
- データ
- おそれ上限 —確定 —第三者はメールボックス内の全内容を閲覧できる状態にあり、保存された個人情報が取得された可能性を完全には否定できない。実際の閲覧・ダウンロード・持ち出しを示す事実は公表されておらず、対象人数・項目も未公表。教員5名の事案では、一部アカウントで内部データへのアクセス痕跡が確認されたが、大規模な持ち出しは確認されていない。
- 波及先
- 3177 件
- 法学部アカウントから連絡先の学内外アドレスへ不審メール3,177件
- 教員5名のアカウントから学内外へ不審メール1,333件
- 理工学部教職員1名のアカウントから外部へ多数の不審メール（件数は本文に記載なし）
- 金銭影響
- —
- サプライチェーン
- 委託先や取引先経由とする公表はない。法学部・理工学部・教員5名の事案が同一の攻撃者・キャンペーン・脆弱性によるとの情報は確認されていない。
時系列
- 2026-03-06日本大学三軒茶屋キャンパスが、教職員1名のアカウントがクラウドサービスを装ったフィッシングで乗っ取られ、321件の不審メールが送信されたと公表した（類似事案）。1
- 2026-07-06日本大学が、在学生・卒業生計9名のアカウントが不正利用され、計17,864件の不審メールが送信されたと公表した（類似事案）。1
- 2026-08-03 15:30法学部の事案が発生した。1
- 2026-08-07 17:50法学部が事案を検知した。直ちにアカウントを停止し、パスワードを変更、外部へのメール送信を遮断した。1
- 2026-08-07 23:40理工学部の教職員1名のアカウントが、フィッシング攻撃で第三者に不正利用され、多数の不審メールが外部に送信された。3
- 2026-08-07
- 2026-08-25
- 2026-08-29
- 2026-09-08日本大学理工学部が不正アクセスによる迷惑メール発信を発表した。3
- 2026-09-14
技術解説
法学部の事案：公表された経過と対応 事実
日本大学法学部は2026年8月25日、教職員1名のメールアカウントがフィッシング攻撃で第三者に不正利用され、学内外へ3,177件の不審メールが送信されたと公表した。事案は8月3日15時30分頃に発生し、8月7日17時50分頃に検知された。教職員がフィッシングメールのリンクをクリックしてアカウント情報を窃取され、第三者が正規の認証情報でメールアカウントへ不正アクセスしたとされる。当該端末にウイルス感染の形跡は確認されていない。不審メールは、乗っ取られたアカウントの連絡先に登録されていた学内外のアドレスへ送られた。検知後、法学部は当該アカウントを直ちに停止してパスワードを変更し、外部へのメール送信を遮断した。大学は原因を「巧妙に偽装されたフィッシングメールによるアカウント乗っ取り」と説明している。
個人情報への影響と通知方法 事実
不正アクセスした第三者はメールボックス内の全ての内容を閲覧できる状態にあり、保存されていた個人情報が取得された可能性を完全には否定できないとされている。一方、個人情報が実際に閲覧・ダウンロード・外部持ち出しされたことを示す事実は確認されておらず、対象となり得る人数や項目も公表されていない。8月25日時点で、本件に起因する情報の不正利用や金銭的被害の報告は確認されていない。メールボックス内の情報量が膨大で、影響可能性のある人を全て特定して個別連絡することは困難なため、法令に基づき8月25日の公式公表をもって対象者へのおわびと報告に代えるとしている。個人情報保護委員会、文部科学省などの監督官庁へは報告済みである。二次被害として、大学教職員を装ったなりすましメールのおそれがあるとして注意を呼びかけている。
同じ大学で公表された類似事案 事実
日本大学では2026年に類似の事案が複数公表されている。3月6日には三軒茶屋キャンパスが、教職員1名のアカウントがクラウドサービスを装ったフィッシングで乗っ取られ、321件の不審メールが送信されたと公表した。7月6日には在学生・卒業生計9名のアカウントが不正利用され、計17,864件の不審メールが送信されたと公表した。理工学部は9月8日、8月7日午後11時40分頃に教職員1名のアカウントが不正利用され、多数の不審メールが外部へ送信されたと発表した。9月14日には、教員計5名のアカウントが8月7日に不正アクセスされ、8月29日に確認されたこと、不審メールが1,333件であったことが公表された。一部のアカウントで内部データへのアクセス痕跡が確認されたが、大規模な持ち出しは確認されていない。これらが同一の攻撃者、同一のフィッシングキャンペーン、共通の脆弱性によるとの情報は確認されていない。
考察：認証情報の窃取が起点となる型 解釈
公表内容からは、システムの脆弱性ではなく、窃取された正規の認証情報によるログインが起点になった型の事案と読み取れる。端末にウイルス感染の形跡がないことから、攻撃はメールアカウントの認証情報そのものを狙ったものと考えられる。再発防止策にMFAの導入推進が挙げられている点から、対象アカウントでIDとパスワードだけでログインできる状態が残っていた可能性もあるが、公表文からは断定できない。また、乗っ取られたアカウントの連絡先が不審メールの宛先に使われており、受信者には「大学関係者からのメール」に見えるため、被害が組織の外へ広がりやすい構造がある。ただし、複数の事案が相互に関連するかは公表されておらず、本件を大学全体の傾向として論じることには限界がある。
考察：検知までの時間と影響範囲の把握 解釈
法学部の事案は発生から検知まで約4日2時間かかっている。この間、継続的に不正アクセスが行われていたことや、攻撃者がメールボックスを継続的に閲覧していたことは確認されておらず、期間の長さだけで影響の大きさは判断できない。ただし、メールボックスの内容が膨大なため対象者を特定できず、公表で通知に代える判断になった点は、保存データの把握と閲覧記録の確認が難しいことが影響範囲の確定を妨げている様子を示している。ログ上で閲覧の有無を切り分けられていれば、通知の範囲を狭められた可能性があるが、実際のログ保全状況は公表されていないため、この点は推測にとどまる。
対応
- 封じ込め
- 検知後、法学部は当該アカウントを直ちに停止してパスワードを変更し、外部へのメール送信を遮断した。教員5名の事案でも、当該アカウントを一時停止（又は無効化）して不正アクセスを遮断した。再発防止策として、パスワード管理・アカウント管理の適正化、多要素認証（MFA）の導入推進、情報セキュリティ教育の再徹底を挙げている。
- 公表の仕方
- 法学部は2026年8月25日に公表した。メールボックス内の情報量が膨大で影響可能性のある人を全て特定して個別連絡することは困難なため、法令に基づき公式公表をもっておわびと報告に代えるとした。二次被害として、大学教職員を装ったなりすましメールのおそれがあるとして注意を呼びかけ、心当たりのないメールのURLや添付ファイルを開かず削除するよう求めている。教員5名の事案では、連絡先が特定可能な対象者に個別にメール等で連絡している。
- 当局対応
- 個人情報保護委員会
- 文部科学省
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| パスワードだけの認証では、フィッシングで窃取された認証情報がそのまま不正ログインに使われる。 | メールを含む全教職員・学生アカウントにMFAを必須化し、フィッシング耐性のあるFIDO2/パスキーを優先する。レガシー認証（POP/IMAP/SMTP基本認証）は無効化する。 |
| 乗っ取られたアカウントは連絡先を使い、信頼されたメールとして学内外へ大量送信できる。 | アカウント単位の送信件数・宛先数の上限とレート制限を設定し、閾値超過時に自動で送信停止・管理者通知を行う。不審な転送ルールの作成も検知対象にする。 |
| 発生から検知まで約4日を要した事案では、その間の動きを後から切り分ける材料が重要になる。 | メールのサインイン、メール項目アクセス、送信のログを十分な期間保全し、普段と異なる地域・端末からのログインを検知するルールを設ける。 |
| メールボックスに個人情報が蓄積していると、乗っ取りのたびに影響範囲の確定と通知が難しくなる。 | 個人情報を含むメールの保存期間を定めて自動削除・アーカイブを行い、添付ファイルは共有ストレージへ移す。メールボックス内の機微情報を定期的に棚卸しする。 |
| 同じ組織で類似事案が重なるため、個別対応だけでなく全体の傾向を把握する必要がある。 | フィッシング報告窓口と乗っ取り事案の集計を一元化し、要因別に共通点を分析する。疑似フィッシング訓練と報告手順の周知を定期実施する。 |
自組織などでの確認項目
- 自組織のメールアカウントで、MFAが適用されていないアカウントや、基本認証でログインできる経路はどのくらい残っているか。
- 1つのアカウントから短時間に大量のメールが送信された場合、検知して自動で止める仕組みと、気づくまでの目標時間は決まっているか。
- 乗っ取られたメールボックスに保存されている個人情報の種類と量を、自組織は把握できているか。閲覧の有無をログから確認できるか。
- フィッシングメールをクリックした社員・職員が、迷わず即座に報告できる窓口と手順は整っているか。
未解明点
- 法学部の事案で、メールボックスに保存されていた個人情報の対象人数と項目はどのくらいか。
- 発生から検知までの約4日間に、攻撃者が実際にメールボックスを閲覧・取得した形跡があったのか。
- 法学部・理工学部・教員5名など複数の事案に、共通の原因（同じ攻撃者や手口）があるのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-27報道本文確認済
- 2ScanNetSecurity2026-08-28報道本文確認済
- 3ScanNetSecurity2026-09-15報道本文確認済
- 4ScanNetSecurity2026-10-05報道本文確認済
- 5日本大学2026-09-14公式本文確認済