富山県立大学でのMicrosoft Teams設定ミスによる個人情報の学内閲覧可能状態（学生成績923人分ほか、253ファイル）
公表日
富山県立大学で、教職員向けのTeamsチームにあったファイル253件が、約3年間（最大）学内の全ての学生・教職員から見られる状態でした。学生成績923人分などが含まれ、少なくとも学生23名のアクセスが確認されています。
対象者は？
学生成績に関わる情報923人分、非常勤講師の履歴書6人分、単位互換で受講した他大学の学生91人分（単位取得状況）が、閲覧可能なファイルに含まれていました。見られる状態だったのは、本学の全ての学生及び教職員（学内アカウント保持者）です。閲覧可能な期間は令和4年7月（最大）から令和7年12月8日までです。これら以外の情報が含まれていたかどうかは、公表資料の範囲では示されていません。
大学は、閲覧可能だった方へ12月18日以降に報告とお詫びのメールを送っています。メールが届いていないか確認してください。問合せ窓口も設けられており、これまでに3件の問合せがありましたが、いずれも閲覧可能だった情報に本人のものは含まれていませんでした。
いますぐできること
- 大学からのお知らせメールが届いていないか確認する。
- 自分の情報が含まれていたか気になる場合は、大学の問合せ窓口に相談する。
何が起きたのか
2025年12月8日、学生の指摘で、教職員だけのはずのTeamsチームのファイルが、チーム外の学生や教職員にも見られる状態だったことが分かりました。大学は約30分後に設定の誤りを突き止め、メンバーだけが見られる設定に変えて、ファイルを別の場所へ移しました。12月10日には、少なくとも学生23名がファイルを開いていたことが確認されました。大学はこの学生たちに聞き取りをして、保存したデータの削除をお願いし、広めていないことを確認しました。12月12日に文部科学省と個人情報保護委員会へ報告し、12月18日に記者会見とホームページで公表しました。
なぜ起きたのか・なぜ広がったのか
チームの公開範囲を「プライベート」にするべきところが「パブリック」になっていたことが原因です。外部からの侵入ではなく、学内のアカウントを持つ人なら見られる状態でした。広い範囲で長く続いた背景として、ログが残っていたのが直近180日分に限られ、それより前の閲覧者や開始時期を調べられなかったことがあります。マイクロソフト社に過去のログを照会しましたが、2026年1月6日に対応できないとの回答がありました。
いまの状況2026-01-19 時点続報待ち
2026年1月19日時点で、閲覧された個人情報が悪用された事実は確認されていません。再発防止として、チームの所有者が「パブリック」を選べないよう学内の全チームの設定を変え、12月24日正午までに完了しました。一方で、閲覧可能になった正確な時期や、23名以外の閲覧者は特定できないと大学は説明しています。
企業として考えたいこと
あなたの会社の共有フォルダやチャットのチームに、「社内の誰でも見られる」設定のまま、人事や成績・評価のような個人情報が置かれていないでしょうか。
技術的な要約
富山県立大学では、Microsoft Teamsの特定教職員チームの公開範囲を「プライベート」とすべきところ「パブリック」に設定していたため、253件のファイルが学内アカウント保持者（全ての学生及び教職員）に閲覧可能な状態だった。2025年12月8日13:30頃に学生の指摘で判明し、14:00頃に原因を特定して設定を変更した。学生成績923人分、非常勤講師の履歴書6人分、他大学学生の単位取得状況91人分の個人情報が含まれ、少なくとも本学学生23名のアクセスが確認された。閲覧可能だった期間は令和4年7月（最大）から令和7年12月8日までで、悪用の事実は確認されていない。12月12日に文部科学省と個人情報保護委員会へ報告し、12月18日に記者会見とホームページで公表した。2026年1月6日にMicrosoft社から過去ログは対応不能との回答があり、閲覧開始時期や23名以外の閲覧者の特定はできないと判明した。
公開情報が限られている点について
攻撃の分類
- 侵入口
- クラウド設定不備公表で確認Teamsの当該チームのプライバシー設定を、「プライベート」（チームのメンバーのみ閲覧可能）とすべきところ「パブリック」としていた。外部からの侵入ではなく、学内アカウント保持者がチーム外から閲覧できる状態だった。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 公表内容に業務停止の記載はない。
- データ
- おそれ上限 923確定 —人従業員情報その他閲覧可能だったファイルは253件。内訳は学生成績923人分、非常勤講師の履歴書6人分、他大学学生の単位取得状況91人分（富山大学58人、富山国際大学2人、高岡法科大学2人、富山短期大学6人、富山高等専門学校23人）。records_maxは最大の学生成績の人数で、各区分の合算はしていない。少なくとも本学学生23名のファイルへのアクセスを確認したが、悪用の事実は確認されていない。アクセスログが確認できたのは令和7年6月13日以降の直近180日間のみで、23名以外の閲覧者は特定不能。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 単位互換で受講した他大学学生の情報が含まれたが、委託先や他組織の環境の侵害に起因する事案ではない。
時系列
- 2022-07当該チームのファイルが学内で閲覧可能となった時期（最大）。明確な開始時期は特定不能。3
- 2025-12-08 13:30学生の指摘により、学生の成績情報を含むファイルがチーム外の学生や教職員にも閲覧可能であることが判明した。3
- 2025-12-08 14:00プライバシー設定の誤りが原因と判明し、メンバーのみアクセス可能な設定に変更するとともにファイルを別の場所に移動した。閲覧可能期間はこの日までとされた。3
- 2025-12-10少なくとも本学学生23名が当該ファイルにアクセスしたことを確認した。3
- 2025-12-11アクセスした学生への個別ヒアリングを開始し、保存データの削除依頼と拡散行為がないことの確認を行った（12日まで）。3
- 2025-12-12文部科学省及び個人情報保護委員会にインシデント発生を報告した。3
- 2025-12-18記者会見及びホームページで公表し、同日以降、閲覧可能だった方へ報告とお詫びのメールを発信した。3
- 2025-12-24 12:00チーム所有者が「パブリック」を選べないよう学内全チームの設定を変更する作業が完了した。3
- 2026-01-06ログ保存期間より前のログについてマイクロソフト社に照会し、対応不能との回答があった。閲覧可能となった明確な時期や23名以外の閲覧者の特定は不可能と判明した。3
技術解説
公表された事実の概要：設定の誤りと閲覧可能だった範囲 事実
2025年12月8日、富山県立大学でMicrosoft Teamsの特定の教職員のみで構成されるチームのファイルが、チーム外の学内アカウント保持者（全ての学生及び教職員）にも閲覧可能な状態だったことが判明した。原因は当該チームのプライバシー設定で、「プライベート」（チームのメンバーのみ閲覧可能）とすべきところを「パブリック」としていたことである。13:30頃に本学学生の指摘で分かり、14:00頃に設定の誤りが原因と判明した。大学はメンバーのみアクセス可能な設定に変更し、ファイルを別の場所に移動した。閲覧可能だった期間は令和4年7月（最大）から令和7年12月8日までとされている。
公表された事実：対象情報とアクセスの確認状況 事実
閲覧可能だったファイルは253件で、学生成績に関わる情報923人分、非常勤講師の履歴書6人分、単位互換で他大学学生が受講した科目の単位取得状況91人分の個人情報が含まれていた。91人の内訳は、富山大学58人、富山国際大学2人、高岡法科大学2人、富山短期大学6人、富山高等専門学校23人である。12月10日までに、少なくとも本学学生23名がアクセスしたことが確認された。閲覧された個人情報が悪用された事実は現時点で確認されていない。アクセスログを確認できたのは令和7年6月13日以降の直近180日間で、それ以前のログはマイクロソフト社に照会したが、令和8年1月6日に対応不能との回答があった。
公表された事実：対応・届出・再発防止策 事実
12月11日から12日にかけて、アクセスした学生へ個別にヒアリングを行い、自身のPCやスマートフォンに保存したものがあれば削除を依頼し、個人情報の拡散行為がないことを確認した。12月12日に文部科学省及び個人情報保護委員会へインシデント発生を報告し、12月18日に記者会見及び本学ホームページで公表した。同日以降、閲覧可能だった方へ報告とお詫びのメールを発信した。問合せ窓口への問合せは3件（他大学学生1名、非常勤講師2名）で、いずれも閲覧可能だった情報に本人のものは含まれていなかった。再発防止として、チーム所有者が「パブリック」を選べないよう学内全チームの設定を変更し、12月24日正午までに完了した。
事案の構造：外部侵入ではない「公開範囲の設定」の問題（解釈） 解釈
公表資料から読み取れる範囲では、この事案は外部からの攻撃ではなく、クラウド上の共有範囲の設定が意図と異なっていたことによる。学内アカウントさえあれば誰でも閲覧できるため、アクセスは正規の認証を経た通常の操作として行われ、侵害の痕跡としては現れにくい。そのため、発見のきっかけは学生の指摘だったと整理できる。なお、東北芸術工科大学（2025年1月公表）や琉球大学（2023年1月公表）でも、Teamsの公開範囲の設定が原因の事案が報じられている。大学の環境で同種の設定ミスが起こりうる構造的な要因があるのかもしれないが、本事案の公表資料だけからは断定できない。
影響の大きさの見方：数字の読み方と調査の限界（解釈） 解釈
923人という数字は、閲覧可能だったファイルのうち学生成績に関わる情報の対象者数であり、閲覧された人数ではない。実際に閲覧が確認されたのは本学学生23名で、悪用は確認されていない。ただし確認できたのは直近180日間のログに限られ、閲覧可能となった明確な時期や23名以外の閲覧者は特定できないと大学は説明している。このため、影響の上限は示せても、確定した閲覧の範囲は示せない状態にある。この不確実さは、ログの保存期間とクラウド事業者側の回答の限界に由来するものであり、調査の努力不足を示すものとは読めない。早期の学内通知と個別ヒアリングは、残るリスクを小さくする対応だったと考えられる。
対応
- 封じ込め
- 2025年12月8日14:00頃に当該チームをメンバーのみアクセス可能な設定に変更しファイルを別の場所へ移動した。12月11〜12日にアクセスした学生へ個別ヒアリングを行い、保存データの削除依頼と拡散行為がないことを確認した。再発防止として、チーム所有者が「パブリック」を選べないよう学内全チームの設定を変更し、12月24日正午までに完了した。
- 公表の仕方
- 2025年12月18日に記者会見及びホームページで公表し、閲覧可能だった方へ報告とお詫びのメールを発信した。問合せ窓口には3件（他大学学生1名、非常勤講師2名）の問合せがあり、いずれも閲覧可能だった情報に本人のものは含まれていなかった。
- 当局対応
- 文部科学省（2025-12-12報告）
- 個人情報保護委員会（2025-12-12報告）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| チームの公開範囲は「作らせない」設計にすると、運用者の注意に頼らずに済む | Teamsのグループ作成・プライバシー設定をテナント側で制御し、一般の所有者が「パブリック」を選べないようにする。大学は12月24日までに学内全チームでこの変更を完了した。既存チームもMicrosoft Graphで visibility が Public のものを定期的に一覧し、例外は申請制にする。 |
| 成績や履歴書のような個人情報は、共同作業用の場所に置く前に分類と保護を決める | 秘密度ラベルとDLPポリシーで、成績・履歴書などを含むファイルがPublicなチームやサイトに置かれたときに警告・ブロックする。個人情報を含むファイルの保存先を、アクセス権を限定した専用の場所に定める。 |
| アクセスログの保存期間が短いと、事後に閲覧者を特定できなくなる | 監査ログ（Microsoft Purviewの監査など）の保存期間を延長するか、SIEMや別のストレージへ定期的にエクスポートする。大学ではログを確認できたのは直近180日間のみで、それ以前の閲覧者は特定できなかった。 |
| 利用者からの指摘は貴重な検知経路になるため、受付と初動の手順を決めておく | 学生・教職員が誤公開を見つけたときの通報窓口を明示し、受付から設定変更までの手順書を用意する。本事案では13:30頃の指摘から14:00頃に原因特定・設定変更まで進んでおり、こうした初動を手順として標準化する。 |
| 個人情報の取扱いを他組織の情報にも広げて棚卸しする | 単位互換などで他組織の学生・職員の情報を受け取る業務を洗い出し、保存先とアクセス権を台帳化する。年に1回以上、保存先ごとの共有範囲を点検し、結果を記録する。 |
自組織などでの確認項目
- 自組織のTeams・SharePoint・OneDriveなどで、公開範囲が「組織内の全員」になっているチームやサイトを、管理者権限で一覧できるか。直近で確認した日はいつか。
- 自組織のクラウドサービスの監査ログは何日分保存されているか。誤公開が見つかったとき、保存期間より前の閲覧者を特定できなくなる場面はあるか。
- 成績・履歴書・他組織から預かった個人情報など、共有範囲を誤ると影響が大きいファイルが、どこに保存されているかを把握しているか。保存先のアクセス権は誰が最後に確認したか。
- 誤公開に気づいた利用者が、誰にどう連絡すればよいかを、全員が知っているか。連絡から設定変更までに何分かかるか。
未解明点
- 閲覧可能となった正確な開始時期と、23名以外に閲覧した人がいたかどうかは、ログがなく特定不能とされている。今後、他の手がかりによる推定が示されるかは公表されていない。
- 当該チームの設定が「パブリック」になった経緯（作成時の設定か、後からの変更か）は、公表資料の範囲では示されていない。
- 当該チーム以外に「パブリック」設定だったチームがあったか、あった場合に他の個人情報が含まれていたかは、公表資料の範囲では示されていない。
出典
- 1ScanNetSecurity2025-02-04報道本文確認済
- 2ITmedia ビジネスオンライン2023-01-31報道本文確認済
- 3富山県立大学2026-01-19公式本文確認済