東京都立大学教員の個人Googleアカウントへの不正アクセス（個人情報423件流出の可能性）
公表日
東京都立大学の経営学研究科の教員が個人で取得したGoogleアカウントが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、イベント申込者や入試合格者などの個人情報423件が流出した可能性があると、大学が発表しました。
対象者は？
流出の可能性があるのは、経済経営学部・経営学研究科が主催したイベントの申込者・アンケート回答者（180件）と、経営学研究科の入試合格者等（249件、うち6件は重複）の、合計423件（実数）です。含まれる情報は氏名、学修番号、所属、学年、メールアドレス、住所、電話番号、勤務先、職業、年代などで、人により異なります。この教員が過去に送受信したメールの内容（アドレス、本文、添付資料等）も対象になりえます。流出が確認されたという連絡は、大学は受けていないとしています。
大学は、該当する関係者に説明と謝罪を行ったとしています。心当たりのある方は、大学の公式のお知らせで内容を確認してください。
いますぐできること
- 対象になりうる方は、大学の公式のお知らせを読み、自分に関係する内容か確認する。
- ドキュメント共有を装うメールなど、心当たりのないメールのリンクは開かず、差出人が本物か別の方法で確かめる。
- 同じパスワードを使い回している場合は、重要なサービスから順に変更し、2段階認証を設定する。
何が起きたのか
2025年12月2日、海外の研究者のアカウントを装ったメールが教員に届きました。教員が案内に従ってGoogleアカウントの情報を入力したため、アカウント情報が盗まれました。2026年1月7日、そのアカウントから、書類の共有を装った不審なメールが複数の宛先に送られました。受け取った人からの連絡で、大学が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。に気づきました。大学は1月7日に第1報、1月8日に第二報を発表し、流出の可能性がある個人情報は合計423件と明らかにしました。
なぜ起きたのか・なぜ広がったのか
盗まれたのは、教員が個人で取得したGoogleアカウントの情報でした。そのアカウントに、イベントの申込情報や入試合格者等の情報、過去のメールが含まれていました。なぜ大学の情報が個人取得のアカウントに置かれていたのかは、まだ発表されていません。
いまの状況2026-01-08 時点続報待ち
2026年1月8日の第二報の時点で、大学は個人情報の流出や被害の連絡は受けていないとしています。該当する関係者への説明と謝罪を行い、教職員にアカウント情報などの管理を徹底するよう注意を呼びかけました。全学的に検討して対策を講じるとしています。第三者への流出が確認された場合は、該当する人へすぐ知らせるとしています。第二報より後の続報は、まだ発表されていません。
企業として考えたいこと
あなたの会社で、顧客や申込者の情報、業務のメールが、会社が管理していない個人のアカウントに置かれていないか、把握できていますか。
技術的な要約
東京都公立大学法人は2026年1月7日、東京都立大学経営学研究科の教員が個人で取得したGoogleアカウントに不正アクセスを受け、個人情報が外部へ流出した可能性があると発表した。2025年12月2日、海外の研究者を装うフィッシングメールの誘導でアカウント情報を入力し、情報が窃取されたとされる。2026年1月7日に当該アカウントからドキュメント共有を装うフィッシングメールが複数宛先へ発信され、受信者からの連絡で大学が認知した。流出の可能性がある個人情報は、イベント申込者等および入試合格者等の合計423件（実数）と、当該教員が過去に送受信したメールの情報である。第二報の時点で、個人情報流出やそれに伴う被害の連絡は受けていないとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- フィッシング公表で確認2025年12月2日、海外の研究者のアカウントから受信したフィッシングメールの誘導により、教員が個人で取得したGoogleアカウント情報を入力し、アカウント情報が窃取された。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止は公表されていない。
- データ
- おそれ上限 423確定 —件氏名メール住所電話従業員情報その他合計423件（実数）。内訳はイベント申込者・アンケート回答者180件（平成29年度外部検定試験受講対策講座57件、令和5年度経済学プログラムシンポジウム53件、令和5年度博士後期課程入試説明会21件、令和6年度経済学プログラム入試説明会52件、同アンケート28件）と、入試合格者等249件（うち6件はイベント関連と重複）。含まれる情報は氏名、学修番号、所属、学年、メールアドレス、住所、電話番号、勤務先、職業、年代など（対象者により異なる）。これに加え、教員が過去に送受信したメール（アドレス、本文、添付資料等）も流出の可能性がある。個人情報が実際に流出した、または被害が発生したとの連絡は受けていないとしている。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
発生の経緯（公表された時系列） 事実
2025年12月2日、海外の研究者のアカウントから届いたフィッシングメールの誘導に従い、経営学研究科の教員が個人で取得したGoogleアカウントの情報を入力し、アカウント情報が窃取された。2026年1月7日、そのアカウントから複数の宛先へドキュメント共有を装うフィッシングメールが発信された。受信者からの連絡で、大学は不正アクセスを認知した。大学は同日に第1報を、翌1月8日に第二報を公表している。窃取の日付から認知の日付までには約1か月の開きがある。その間にアカウントがどう使われたかは、今回の公表内容には書かれていない。
流出の可能性がある情報の範囲と件数の読み方 事実
第二報によると、流出の可能性がある個人情報は合計423件（実数）である。内訳は、イベント申込者・アンケート回答者が180件（実数）、経営学研究科の入試合格者等が249件で、うち6件はイベント関連と重複している（180＋249−6＝423）。イベント別の件数は、57件、53件、21件、52件、28件と公表されている。これらを単純に足すと211件で、実数180件とは一致しない。差の理由は提示された情報には書かれていない。このほか、教員が過去に送受信したメールのアドレス、本文、添付資料等も流出の可能性がある。大学は、実際の流出や被害の連絡は受けていないとしている。423件は「可能性のある件数」であり、流出が確認された件数ではない。
個人取得アカウントと業務情報の関係（解釈） 解釈
今回の対象は、大学が発行したアカウントではなく、教員が個人で取得したGoogleアカウントである。そのアカウントに、イベントの申込情報や入試合格者等の情報、業務上のメールが含まれていたとされる。ここから、大学の情報が個人取得のアカウントに置かれうる状況があったと読める。ただし、なぜそうなっていたのか、大学の規程でどう扱われていたのかは公表されていない。また、アカウントに多要素認証が設定されていたかどうかも公表されていない。フィッシングは誰にでも起こりうる手口であり、個人の注意だけに原因を求めることはできない。業務情報をどの環境に置くかという運用設計の観点で見るのが適切と考えられる。
対応
- 封じ込め
- 教職員に対し、教育研究活動に関する情報の取扱い、個人情報及びアカウント情報の管理徹底について注意喚起を行った。全学的な検討を行い対策を講じるとしている。アカウントの停止などの技術的措置は公表されていない。
- 公表の仕方
- 2026年1月7日に第1報、1月8日付で第二報を大学サイトで公表した。該当する関係者へ説明と謝罪を行っており、第三者への流出の事実が確認された場合は該当者へ速やかに周知するとしている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 業務に関わる情報が個人取得のアカウントに置かれると、組織の管理が及びにくくなる。 | 業務メールや申込データは組織管理のテナント（Google Workspace等）に集約する。個人アカウントでの業務利用を規程で明確にし、管理コンソールの監査ログで外部ドメインへの転送や共有を検知する。 |
| 知人や研究者を装うフィッシングは、本物の送信元から届くため見分けにくい。 | パスワード入力の前にURLのドメインを確認する手順を周知する。FIDO2対応のセキュリティキーやパスキーを導入し、偽サイトでは認証が成立しない構成にする。 |
| 窃取から発覚まで約1か月あり、気づくきっかけは受信者からの連絡だった。 | 不審なログインや大量送信を検知するアラートを設定する。教職員が不審メールを受け取ったときの連絡窓口を一本化し、受信者が通報しやすい仕組みにする。 |
| 過去のイベントや入試の個人情報が、用途を終えたあとも長く保管されていた。 | 保管期間を定め、期限が来たらデータを削除またはアーカイブする。個人情報の保管場所を台帳で管理し、定期的に棚卸しする。 |
| 個人情報の件数は、実数と重複を区別して示すと、影響範囲を正確に伝えられる。 | インシデント対応の手順に、重複を除いた実数の算出と、イベントや年度ごとの内訳の整理を入れる。公表時に「可能性のある件数」と「確認された件数」を分けて記載する。 |
自組織などでの確認項目
- 自組織の教職員・従業員が、業務メールや顧客・申込者の情報を個人取得のアカウントで扱っていないか。扱っている場合、組織側で把握できる仕組みはあるか。
- 業務で使うすべてのクラウドアカウントに多要素認証（できればパスキー等のフィッシング耐性があるもの）を適用できているか。適用できていないアカウントはどれか。
- 自組織のアカウントから不審なメールが大量に送信された場合、誰がどのログで検知し、誰が停止判断をするか。受信者からの連絡を受ける窓口は決まっているか。
未解明点
- 個人情報や業務メールが、なぜ教員の個人取得アカウントに置かれていたのか。大学内でのアカウント利用の規程や運用は公表されていない。
- 2025年12月2日の窃取から2026年1月7日の認知までの間に、不正ログインや情報の閲覧・持ち出しがあったか。アカウントの停止などの技術的措置も含め、公表されていない。
- 第三者への流出の事実が確認されたかどうか。第二報以降の続報は提示された情報にない。
出典
- 1セキュリティ対策Lab(合同会社ロケットボーイズ)2026-01-09報道本文確認済
- 2ScanNetSecurity2026-01-23報道本文確認済
- 3東京都公立大学法人2026-01-08公式本文確認済
- 4東京都立大学（東京都公立大学法人）2026-01-07公式本文確認済