流通科学大学のクラウドサービス設定ミスによるファイル閲覧可能状態（学外漏えいは未確認）
公表日
流通科学大学で、学内で使うクラウドサービスの設定ミスにより、一部の教職員だけで共有するはずのファイルが、学内アカウントを持つ学生・教職員にも見られる状態になっていました。件数や情報の種類はまだ発表されておらず、学外への漏えいや悪用は確認されていないとしています。
対象者は？
本来は特定の教職員だけで共有されるはずだったファイルに情報が含まれていた方が対象です。対象者の人数や、どんな情報が含まれていたかはまだ発表されていません。見ることができたのは学内アカウントを持つ学生・教職員に限られ、大学はこのサービスは学外の人には見られない仕組みで、学外への漏えいや悪用は確認されていないと説明しています。
大学は、対象となった方に個別にメールで報告とお詫びを送ったと説明しています。大学からのメールが届いているか確認してください。
いますぐできること
- 流通科学大学の学生・教職員の方は、大学から本件についての個別メールが届いていないか確認する。
何が起きたのか
2026年1月20日、大学が学内で使っているクラウドサービスで、ファイルの共有設定が正しくないことがわかりました。本来は特定の教職員だけが見られるはずのファイルが、学内アカウントを持つ学生や教職員にも見られる状態になっていました。大学はすぐに設定を直し、1月31日にこのことを公表しました。
なぜ起きたのか・なぜ広がったのか
外部からの攻撃ではなく、クラウドサービス上の共有の設定が正しくなかったことが原因とされています。どの設定がどのように誤っていたのか、いつからその状態だったのかはまだ発表されていません。
いまの状況2026-01-31 時点続報待ち
大学は設定を変更し、特定の教職員以外は見られない状態に戻して、問題は解消済みとしています。対象者には個別にメールで報告とお詫びを送り、文部科学省と個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。も済ませたと説明しています。件数・情報の種類・再発防止策はまだ発表されていません。
企業として考えたいこと
自社の共有フォルダやクラウドストレージで「社内の全員が見られる」設定になっている場所に、本来は限られた担当者だけが見るべきファイルが入っていないか、定期的に確かめる仕組みはありますか？
技術的な要約
流通科学大学は2026年1月31日、学内で利用しているクラウドサービスの設定ミスにより、本来は特定の教職員のみで共有されるべきファイルが学内アカウントを持つ学生および教職員にも閲覧可能な状態になっていたと公表した。共有設定の不適切さは2026年1月20日に判明した。大学は判明後に速やかに設定を変更し、不適切な状態は解消済みとしている。当該サービスは学外者が閲覧できない仕組みで、学外への漏えいや悪用の事実は確認されていない。対象者への個別メール連絡と、文部科学省および個人情報保護委員会への報告が行われたと説明している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- クラウド設定不備報道・研究者外部からの攻撃ではなく、クラウドサービス上の共有設定が不適切であったため、特定の教職員のみが閲覧できるはずのファイルが学内アカウント保持者（学生・教職員）にも閲覧可能となっていた。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし
- データ
- おそれ上限 —確定 —件数・情報の種類は出典に記載がない。学内アカウント保持者が閲覧可能な状態であったが、学外への漏えいや悪用の事実は確認されていないとされる。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
公表されている事実関係 事実
流通科学大学は2026年1月31日、学内で利用しているクラウドサービスの設定ミスにより、本来は特定の教職員のみで共有されるべきファイルが、学内アカウントを持つ学生および教職員にも閲覧可能な状態になっていたと公表した。大学によると、クラウドサービス上の共有設定が不適切であることが判明したのは2026年1月20日である。大学は判明後に速やかに設定を変更し、特定の教職員以外が閲覧できない状態に戻して、不適切な状態は解消済みとしている。大学の説明では、当該クラウドサービスは学外者が閲覧できない仕組みであり、現時点で学外への漏えいや悪用の事実は確認されていない。対応として、対象となった方には個別にメールで報告とお詫びを送付し、文部科学省および個人情報保護委員会への報告を速やかに行い、関係当局への報告も完了したと説明している。本件は2026年2月4日にセキュリティ対策Labが報じている。
事案の構造：外部攻撃ではなく「共有範囲」の設定 解釈
公表内容から読み取れる限り、本件は外部からの侵入ではなく、クラウド上のファイル共有範囲が意図より広く設定されていた事案と考えられる。閲覧できた範囲は「学内アカウント保持者」に限られており、インターネット上への公開ではない点で影響の性質は異なる。一方で、学内向けクラウドでは「組織内の全員が閲覧可」といった共有方式が手軽に選べることが多く、限られた担当者向けのファイルが、そうした広い範囲の共有領域に置かれたり、そのような設定のまま共有されたりする状況は、多くの組織で起こり得る。学生と教職員が同じテナントを使う大学では、「学内」の中にも権限を分けるべき利用者の層があり、境界が組織の外側だけでは足りないことを示す事例と位置づけられる。設定ミスの具体的な内容や利用していた製品名は、確認できた範囲では示されていない。
影響範囲の評価に残る不確実性 解釈
大学は「学外への漏えいや悪用の事実は確認されていない」としているが、これはサービスの仕組み上学外者が閲覧できないことに基づく説明であり、学内アカウント保持者が実際に該当ファイルを閲覧・ダウンロードしたかどうかについては、確認できた範囲では言及がない。また、閲覧可能だった期間（設定ミスがいつ生じたか）、対象ファイルの件数、含まれていた情報の種類、対象者の人数は示されていない。対象者へ個別メールを送付し、個人情報保護委員会へ報告していることから、個人に関わる情報が含まれていた可能性はあるが、その種類や機微性は判断できない。被害の大きさを評価するには、アクセスログによる閲覧実績の確認結果と、露出期間の公表が鍵になると考えられる。
対応と公表の評価 解釈
判明（1月20日）から公表（1月31日）までは11日で、その間に設定変更による是正、対象者への個別連絡、文部科学省と個人情報保護委員会への報告が行われたとされる。是正・通知・当局報告という基本的な手順はそろっており、学内閲覧に限られた事案としては、比較的早く公表したと見ることもできる。一方で、外部の読者が確認できる情報は報道1件にとどまり、件数・情報の種類・露出期間・原因となった運用上の経緯・再発防止策は確認できない。特に、同じ仕組みで他のファイルも広く共有されていないかを全体点検したかどうかは、同種の設定不備が他の場所に残っていないかを判断するうえで重要だが、公表内容からは分からない。
対応
- 封じ込め
- 判明後は速やかに設定を変更し、特定の教職員以外が閲覧できない状態に戻したことで、不適切な状態は解消済みとしている。
- 公表の仕方
- 2026年1月31日に大学が公表。対象となった方には個別にメールで報告とお詫びを送付した。
- 当局対応
- 文部科学省
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 「学内（社内）限定」の共有でも、利用者の層によっては情報漏えいにあたる。学生と教職員のように権限の異なる利用者が同じテナントにいる環境では特に注意が要る。 | テナント内の利用者を教職員・学生などのグループに分け、機微な共有ドライブやフォルダは既定で特定グループのみに制限する。「組織内全員」へのリンク共有は管理者ポリシーで無効化するか、機微ラベル付きファイルでは禁止する。 |
| 共有設定の誤りは本人が気付きにくく、発見が遅れると露出期間が長くなる。 | クラウドストレージの共有設定を定期的に棚卸しするジョブを用意する（管理APIで「組織内全員」「リンクを知る全員」共有のファイルを抽出し、所有者へ確認依頼を送る）。DLPや秘密度ラベルで個人情報を含むファイルを自動検出し、広い共有範囲と組み合わさったときにアラートを出す。 |
| 「学外への漏えいはない」だけでは影響評価として不十分で、学内で実際に閲覧されたかの確認が必要になる。 | クラウドサービスの監査ログ（閲覧・ダウンロード・共有変更のイベント）を十分な期間保存する設定にし、事案発生時に対象ファイルへのアクセス者・日時・操作を抽出する手順を事前に整備しておく。 |
| 設定変更で是正しても、同じ運用で作られた他の共有に同種の誤りが残っている可能性がある。 | 1件の設定不備を見つけたら、同じテンプレート・同じ部署・同じ時期に作られた共有領域を横断検索して点検する。共有ドライブ作成時の既定設定をテンプレート化し、作成者が共有範囲を選ばなくても安全側になるようにする。 |
| 個人情報が関わる設定不備では、対象者への通知と当局報告を短期間で行う体制が必要になる。 | 設定不備による露出を想定したインシデント対応手順（影響範囲の特定、対象者リストの抽出、通知文面、個人情報保護委員会・所管官庁への報告テンプレート）をあらかじめ用意し、机上訓練で所要日数を確認する。 |
自組織などでの確認項目
- 自組織のクラウドストレージで、「組織内全員」や「リンクを知っている全員」に共有されているファイル・フォルダを一覧で抽出できるか。その中に人事・成績・個人情報など限られた担当者向けのファイルは含まれていないか。
- 権限の異なる利用者層（例：正社員と委託先・アルバイト、教職員と学生）が同じテナントにいる場合、機微な共有領域の既定の共有範囲は特定グループに限定されているか。
- 共有設定の誤りが見つかったとき、監査ログから対象ファイルを誰がいつ閲覧・ダウンロードしたかをさかのぼって確認できるか。ログの保存期間は露出期間をカバーできる長さか。
- 個人情報を含むファイルの露出が判明した場合に、対象者への個別通知と当局報告を何日以内に完了できる体制・手順があるか。
未解明点
- 閲覧可能だったファイルの件数、含まれていた個人情報の種類、対象者の人数は公表されていない。
- 設定ミスがいつから生じていたか（閲覧可能だった期間）と、設定ミスが生じた経緯は示されていない。
- 学内アカウント保持者が実際に対象ファイルを閲覧・ダウンロードしたかどうか、アクセスログの調査結果は示されていない。
- 利用していたクラウドサービスの製品名と、具体的にどの共有設定が不適切だったのかは明らかにされていない。
- 他の共有ファイルの全体点検や再発防止策が行われたかどうかは、確認できた範囲では示されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-02-04報道本文確認済