山口大学の教職員メールアカウントへのフィッシングによる乗っ取り（連絡先967件が漏洩のおそれ）
公表日
山口大学の教職員1名のメールアカウントがフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。で乗っ取られ、学内外の連絡先967件(漏洩したと思われる件数)が取得され、463件の宛先に不審メールが送られました。
対象者は？
乗っ取られた教職員のアカウントの連絡先一覧に登録されていた学内外のメールアドレス(全967件)の持ち主。内訳は氏名とメールアドレスが631件、メールアドレスのみが336件です。このうち463件には不審メールが送られました。公表された範囲では、取得されたのは連絡先で、他の不審な操作は確認されていません。
山口大学の公式のお知らせで、不審メールの件名と送信日時(2026年8月26日14時32分)を確認し、受信箱の内容と照らし合わせてください。大学は関係者へお詫びと注意喚起のメールを送っています。
いますぐできること
- 件名が「You are a confirmed guest on the list」や「○○ sent you a very special invitation」のメールが届いていたら、URLをクリックしたり添付ファイルを開いたりせず削除する。
- 差出人が山口大学の教職員でも、心当たりのないメールのURLや添付ファイルは開かない。
- 大学の公式のお知らせを読み、自分に関係するか確認する。
何が起きたのか
山口大学の教職員1名が、フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールのリンクをクリックし、偽サイトにアカウントとパスワードを入力しました。この情報を使って第三者がメールアカウントに不正にアクセスし、2026年8月26日14時32分に不審メールを送りました。宛先は連絡先一覧の967件のうち463件です。大学は、第三者が連絡先を閲覧できる状態にあり、連絡先が取得されたとしています。判明後すぐに、このアカウントを止めてパスワードを変更しました。大学は10月6日にこの件を公表しました。
なぜ起きたのか・なぜ広がったのか
教職員が偽サイトに入力した認証情報が盗まれ、それが使われたと大学は説明しています。端末にウイルス感染の形跡は確認されていません。アカウントに多要素認証が設定されていたかどうかは、公表資料では説明されていません。
いまの状況2026-10-06 時点続報待ち
2026年10月6日時点で、情報の不正利用や金銭的被害の報告は確認されていないと大学は説明しています。個人情報保護委員会と文部科学省などの監督官庁に報告済みです。大学は再発防止策として、メールアカウントとパスワード管理の厳格化と、情報セキュリティ教育の再徹底を挙げています。不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。に気づいた日時など、詳しい経緯はまだ発表されていません。
企業として考えたいこと
自社の社員一人のメールアカウントが乗っ取られたら、その人の連絡先に入っている取引先や顧客のうち何人に影響が及び、どれくらい早く気づいて止められるでしょうか。
技術的な要約
山口大学は2026年10月6日、教職員1名のメールアカウントがフィッシング攻撃で乗っ取られ、学内外の連絡先967件が第三者に取得されたと公表した。当該教職員が偽サイトにアカウントとパスワードを入力して認証情報を窃取され、2026年8月26日14時32分に連絡先一覧のうち463件の宛先へ不審メールが送信された。漏洩したとみられる連絡先の内訳は、氏名とメールアドレスが631件、メールアドレスのみが336件である。端末にウイルス感染の形跡はなく、他の不審な操作も確認されていない。10月6日時点で情報の不正利用や金銭的被害の報告は確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- フィッシング公表で確認当該教職員がフィッシングメールのリンクをクリックし、偽サイトで入力したアカウント及びパスワード情報を窃取された。端末にウイルス感染の形跡は確認されていない。侵害されたアカウントで多要素認証が設定されていたかは公表資料で説明されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止の公表はない。対象アカウントを停止しパスワードを変更した。
- データ
- おそれ上限 967確定 —件氏名メール連絡先一覧に登録されていた学内外のメールアドレス全967件が漏洩したと思われる。内訳は氏名及びメールアドレス631件、メールアドレスのみ336件。不審メールは967件のうち463件に送信された。他の不審な操作は確認されていない。
- 波及先
- 463 件（不審メール送信先）
- 不審メールの件名: You are a confirmed guest on the list
- 不審メールの件名: ○○(教職員名) sent you a very special invitation
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
攻撃の流れ(公表されている範囲) 事実
山口大学の公表によると、教職員1名がフィッシングメールのリンクをクリックし、リンク先の偽サイトで入力したアカウントとパスワードを窃取された。その認証情報を使って第三者がメールアカウントへ不正アクセスし、2026年8月26日14時32分に不審メールを送信した。件名は「You are a confirmed guest on the list」および「○○(教職員名) sent you a very special invitation」である。宛先は連絡先一覧の学内外メールアドレス全967件のうち463件だった。端末にウイルス感染の形跡は確認されておらず、大学は認証情報の流出による不正アクセスと説明している。第三者はメールボックス内の連絡先の全内容を閲覧可能な状態にあり、連絡先が取得されたが、他の不審な操作は確認できなかったとされる。
影響範囲と数値の読み方 事実
漏洩したと思われる連絡先は967件で、内訳は氏名及びメールアドレスが631件、メールアドレスのみが336件である(合計967件)。大学は「漏洩したと思われる」と表現しており、流出が確定した件数としての数字は公表されていない。不審メールの送信先463件は967件のうちの件数であり、漏洩件数とは別の数字である。2026年10月6日時点で、本件に起因する情報の不正利用や金銭的被害の報告は確認されていない。個人情報保護委員会と文部科学省等の監督官庁へ報告しており、関係者にはお詫びと注意喚起のメールを送付している。判明後は、対象アカウントの利用停止とパスワード変更を行ったとされる。
連絡先を介して広がりうる構造 解釈
不審メールは招待を装う英語の件名で、教職員名が入る形式も含まれていた。受信者から見ると差出人は実在の教職員であり、知人からの連絡として受け取りやすい形だったと考えられる。連絡先に登録されていた学内外の人々は、今回の連絡先取得とは別に、同様の手口の次の標的になる可能性がある。ただし、攻撃者がこの連鎖を狙っていたかどうかや、取得した連絡先を今後どう使うかは公表されておらず、ここは推測にとどまる。一人の認証情報が奪われると、その人の人脈全体に影響が及ぶ点は、大学に限らず多くの組織に共通する性質といえる。大学が「差出人が教職員でもURLを開かない」と求めているのは、この点に対応した案内と読める。
公表内容の評価と未説明の点 解釈
第1報は、不審メールの送信日時、件名、宛先数、連絡先の内訳を具体的に示しており、受信者が自分に届いたメールを照合しやすい内容である。数字も「全967件のうち463件」と、連絡先総数と送信先を区別して書かれている。一方で、多要素認証が設定されていたかは報道でも「説明されていない」とされ、不正アクセスに気づいた日時や経緯も示されていない。送信(8月26日)から公表(10月6日)までは約6週間あるが、その間の調査内容は公表資料からは分からない。これらは公表の不備と断定するものではなく、今後の続報や再発防止策の具体化で補われることが期待される論点である。再発防止策がアカウント・パスワード管理の厳格化と教育である点も、技術的対策の中身は今後の説明を待つ必要がある。
対応
- 封じ込め
- 判明後、直ちに当該アカウントの利用停止及びパスワード変更を実施した。再発防止策として、メールアカウント及びパスワード管理の厳格化と情報セキュリティ教育の再徹底を行うとしている。受信者には、差出人が教職員であっても心当たりのないメールのURLをクリックしたり添付ファイルを開いたりせず、削除するよう求めている。
- 公表の仕方
- 2026年10月6日に大学サイトで「本学教職員になりすました不審メール発信に関するお詫びとご報告について」を公表。関係者へはお詫びと注意喚起をメールで送付した。
- 当局対応
- 個人情報保護委員会
- 文部科学省等の監督官庁
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| パスワードだけの認証では、偽サイトに入力された時点でアカウントを使われてしまう | メールを含む全教職員アカウントに多要素認証を必須化する。可能なら FIDO2/パスキーなど偽サイトに強い方式を優先し、レガシープロトコル(IMAP/POP/SMTP基本認証)は無効化する。 |
| 乗っ取られたアカウントのメールボックスには連絡先が大量に残り、そのまま取得される | 連絡先・アドレス帳に保存する個人情報の方針を定め、不要な連絡先の定期削除を促す。学外の連絡先は共有アドレス帳側で管理し、個人メールボックスへの蓄積を減らす。 |
| 乗っ取り後の大量送信を早く見つければ、被害の拡大を抑えられる | アカウントごとの送信数・宛先数のしきい値を設け、短時間に多数へ送信した場合に自動で送信制限とアラートを出す。普段と異なる地域・端末からのログインも検知対象にする。 |
| 差出人が実在の教職員でも、乗っ取りで送られた不審メールは見分けにくい | 外部の宛先向けに、不審メールの特徴と対応を速やかに案内できる連絡テンプレートを用意する。メールゲートウェイで外部送信時の警告表示やURL書き換え・検査を有効にする。 |
| フィッシングの入力を完全には防げないため、報告と初動の手順が要る | 偽サイトに入力した場合の通報窓口を一本化し、アカウント停止・パスワード変更・セッション失効・転送ルール確認までを手順書にする。報告者を責めない運用とし、定期的な模擬訓練で通報までの時間を測る。 |
自組織などでの確認項目
- 自組織のメールアカウントに多要素認証は全員に適用されているか。適用除外や、パスワードだけで使える古い接続方式は残っていないか。
- 一人のアカウントが乗っ取られたとき、そのメールボックスや連絡先から何件の外部の氏名・メールアドレスが見られる状態か。把握できているか。
- 不審な大量送信が起きたとき、何分で検知して送信を止められるか。そのアラートは誰に届き、休日や夜間も対応できるか。
未解明点
- 侵害されたアカウントで多要素認証が設定されていたか(10月6日の公表資料では説明されていない)。
- 不審メール送信の後、大学がどの時点・どの方法で不正アクセスに気づいたか(検知日は公表されていない)。
- 認証情報が窃取された日時と、第三者が最初にアカウントへログインした日時。8月26日の送信より前に連絡先が閲覧されていたか。
- 連絡先967件のうち、不審メールが送られなかった504件の宛先への影響や個別の連絡の有無。
- 再発防止策の「厳格化」の具体的な内容(多要素認証の導入予定など)。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-07報道本文確認済
- 2国立大学法人山口大学2026-10-06公式本文確認済