日本大学における教職員メールアカウントのフィッシング乗っ取りと迷惑メール発信（2026年に複数件公表・最大1,333件送信）
公表日
日本大学で2026年、教職員らのメールアカウントがフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。で乗っ取られ、迷惑メールの送信に使われた事案が複数公表された。不審メールの送信数は1月が30件、2月が321件、8月が1,333件で、アカウントは1月が職員1名と学生1名、2月が教職員1名、8月が教員計5名。
対象者は？
乗っ取られたアカウントの持ち主と、そのメールボックスに保存されていた情報の関係者、および不審メールの宛先（連絡先に登録されていた学内外のアドレス）。1月・2月の事案では、保存されていた個人情報が取得された可能性は否定されていない。個人情報の件数や種類は公表されていない。個人情報の不正利用や金銭的被害は、いずれも確認されていないとされる。
8月の事案では、連絡先が特定可能な対象者に、日本大学から個別にメール等で連絡が行われている。1月・2月の事案では、対象者が多いため個別連絡に代えて公表でおわびと報告をしている。詳しくは下の公式のお知らせを参照。
いますぐできること
- 日本大学の教職員を名乗るメールでも、心当たりがなければ本文のURLをクリックせず、添付ファイルも開かずに削除する。
- クラウドサービスを装うメールのリンク先でIDとパスワードを入力した覚えがある場合は、すぐにそのサービスのパスワードを変更する。
- 利用しているサービスで、2段階認証（多要素認証）を設定できるものは有効にする。
何が起きたのか
2026年1月13日、理工学部の職員アカウントに不正ログインがあり、教員や学生を含む30件の不審メールが送信された。不審メールを受け取った学生1名が偽サイトに誘導され、認証情報を盗まれた。2月9日には三軒茶屋キャンパスの教職員1名のアカウントが乗っ取られ、321件の不審メールが送信された。大学のシステムは約15分後に大量送信を検知し、アカウント停止などを行った。8月7日には教員計5名のアカウントが迷惑メール送信に使われ、8月29日に大学が確認した。送信は1,333件に上り、9月14日に公表された。
なぜ起きたのか・なぜ広がったのか
3件とも、フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールなどでIDとパスワードが盗まれ、アカウントが乗っ取られたことが原因と説明されている。2月の事案では、実在するクラウドサービスを装ったメールのリンクから認証情報が入力されたとされ、端末にウイルス感染の痕跡は確認されていない。メールボックス内の全内容を第三者が見られる状態だったため、保存されていた個人情報が取得された可能性が否定できないとされた。多要素認証の設定状況などの詳しい事情は、まだ発表されていない。
いまの状況2026-10-14 時点続報待ち
2026年10月14日時点で、個人情報の不正利用や金銭的被害は確認されていないとされる。被害のあったアカウントは利用停止または無効化され、パスワード変更や不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。元の遮断も行われた。個人情報保護委員会と文部科学省等の監督官庁へ報告済み。再発防止策として、パスワード管理の厳格化、多要素認証（MFA）パスワード（知っているもの）に加えて、スマートフォンへの通知やコード（持っているもの）、指紋や顔（体の特徴）など、別の種類の確認を組み合わせるログイン方式です。パスワードが漏れても、それだけではログインされにくくなります。の導入推進、アカウント管理の適正化、情報セキュリティ教育の再徹底が示されている。個人情報の件数や種類は、まだ発表されていない。
企業として考えたいこと
自社のメールで、従業員1人のIDとパスワードが盗まれたとき、多要素認証などで乗っ取りを防げるか。また、乗っ取られたことに何分で気づけるか。
技術的な要約
日本大学では2026年に、教職員のメールアカウントがフィッシングで乗っ取られ、不審メールの発信に使われた事案が複数公表された。1月13日には理工学部の職員・学生各1名のアカウントが対象となり30件の不審メールが送信され、2月9日には三軒茶屋キャンパスの教職員1名のアカウントから321件が送信された（3月6日公表）。8月7日には教員計5名のアカウントがスパムメール送信の踏み台にされ、8月29日に確認、9月14日に日本大学が公表した。この事案の送信数は1,333件で、一部アカウントで内部データへのアクセス痕跡が確認されたが大規模な情報の持ち出しは確認されていない。いずれも個人情報の不正利用や金銭的被害は確認されていないとされ、個人情報保護委員会と文部科学省等へ報告済みで、再発防止策としてMFA導入推進等が示されている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- フィッシング公表で確認公表では「フィッシングメール等の手段で認証情報（ID・パスワード）が窃取され、アカウントが乗っ取られたことが原因と考えられます」とされる。三軒茶屋キャンパスの事案では実在するクラウドサービスを装ったフィッシングメールのリンクをクリックし認証情報を入力したとされ、理工学部の事案でも巧妙に偽装されたフィッシングメールによるアカウント乗っ取りが原因とされる。端末のウイルス感染の痕跡は確認されていない（1月・2月の事案）。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 中核業務の停止は公表されていない。被害アカウントは利用停止・無効化された。
- データ
- おそれ上限 —確定 —8月事案では一部アカウントで内部データへのアクセス痕跡が確認されたが、大規模な情報の持ち出しは確認されていない。1月・2月の事案では第三者がメールボックス内の全内容を閲覧可能な状態で、保存された個人情報が取得された可能性を否定できないとされる（1月事案は2名分）。個人情報の件数・種類は公表されていない。不審メール送信数は1月事案30件、2月事案321件、8月事案1,333件（件数は送信メール数でありデータ件数ではない）。
- 波及先
- 1 人
- 1月事案で、不審メールを受信した学生1名がフィッシングサイトに誘導され認証情報を窃取された
- 学内外の連絡先に登録されたアドレスへ不審メールが送信された
- 金銭影響
- 金銭的被害は確認されていない（公表上、情報の不正利用や金銭的被害の報告はないとされる）。
- サプライチェーン
- —
時系列
- 2026-01-13 14:20理工学部で職員アカウントへの不正ログインが発生し、同時刻に検知。教員・学生を含む30件の不審メールが送信された。判明後直ちにパスワード変更を実施。5
- 2026-02-09 17:45三軒茶屋キャンパスで教職員1名のメールアカウントが乗っ取られた。1
- 2026-02-09 18:00システムが異常な大量送信を検知。アカウント停止・パスワード変更・外部メール送信の遮断を実施。1
- 2026-03-04理工学部が1月事案について「おわびと御報告」を公表。個人情報保護委員会・文部科学省等へ報告済みとし、個別連絡に代えて公表とした。5
- 2026-03-06
- 2026-08-07
- 2026-08-07 23:40理工学部の教職員1名のアカウントが不正利用され、多数の不審メールが外部に送信された（報道による）。3
- 2026-08-29
- 2026-09-08日本大学理工学部が不正アクセスによる迷惑メール発信について発表（報道による）。3
- 2026-09-14
技術解説
三軒茶屋キャンパス事案（2月9日発生・3月6日公表） 事実
三軒茶屋キャンパスは2026年3月6日、教職員1名のメールアカウントがフィッシングで乗っ取られたと公表した。発生は2月9日17時45分頃で、18時頃にシステムが異常な大量送信を検知した。学内外の連絡先へ321件の不審メールが送信された。原因は実在するクラウドサービスを装ったフィッシングメールで、当該教職員がリンクをクリックして認証情報を入力したとされる。端末にウイルス感染の痕跡は確認されていない。対応として、アカウントの利用停止、パスワード変更、外部へのメール送信の遮断を行った。メールボックス内の全内容を第三者が閲覧可能な状態で、保存された個人情報が取得された可能性は否定されていないが、二次被害や金銭的被害は確認されていない。
理工学部の1月事案と日本大学の8月事案 事実
理工学部は1月13日14時20分頃に職員アカウントへの不正ログインを検知し、教員・学生を含む30件の不審メールの送信を確認した。対象アカウントは職員1名と学生1名で、不審メールを受信した学生1名がフィッシングサイトに誘導され、認証情報を窃取された。2名のメールボックスの個人情報が取得された可能性は完全には否定できないとされる。日本大学は9月14日、8月7日に教員計5名のアカウントが不正アクセスされ、スパムメール送信の踏み台にされたと公表した。検知は8月29日で、送信された不審メールは1,333件（9月14日現在）。一部のアカウントで内部データへのアクセス痕跡が確認されたが、大規模な情報の持ち出し等は確認されていない。
攻撃の構造：ID・パスワードの窃取が起点となる型 解釈
公表された3件はいずれも、フィッシングで窃取された認証情報によるアカウント乗っ取りが原因とされ、同じ型の事案が繰り返し起きている。ウイルス感染の痕跡がないと説明された事案があることから、端末の侵害ではなく、IDとパスワードだけでログインできる状態が起点になった可能性がある。ただし、MFAの有無や認証方式の詳細は公表されておらず、断定はできない。乗っ取られたアカウントは、連絡先に登録された学内外の宛先への送信元として使われた。差出人が実在の教職員名になるため、受信者が警戒しにくく、1月事案のように受信者側の認証情報窃取へ連鎖する余地もある。
公表の特徴と評価上の留意点 解釈
1月・2月の事案では、メールボックス内の情報が膨大で対象者の特定が難しいとして、公表をもって個別連絡に代える判断が示された。8月事案では、連絡先が特定可能な対象者へ個別連絡が始まっている。規模の大きな組織で、アカウントの利用範囲や保存情報が多岐にわたる中、確認できる範囲を示しつつ、可能性を否定しない書き方で公表した点は、情報の取り扱い上の慎重さがうかがえる。一方で、個人情報の件数や種類は示されていない。また、報道の理工学部1名・8月7日23時40分頃の記述と、大学公表の5名との関係は、出典からは確認できない。
対応
- 封じ込め
- 被害アカウントの利用停止（又は無効化）とパスワード変更、不正アクセス元の遮断、外部へのメール送信の遮断を実施。システム仕様上、過去データへの影響を完全に排除することは困難として、安全最優先の保護措置を講じている。
- 公表の仕方
- 1月事案は2026-03-04に理工学部が、2月事案は2026-03-06に三軒茶屋キャンパスが、8月事案は2026-09-14に日本大学が公表。メールボックス内の情報量が多く対象者の特定が困難なため、1月・2月事案は公表でのおわびと報告に代えた。8月事案では連絡先が特定可能な対象者へ個別にメール等で連絡している。なりすましメールへの注意喚起を行い、不審メールのURLや添付ファイルを開かず削除するよう呼びかけている。再発防止策として、パスワード管理の厳格化、2段階認証・多要素認証（MFA）の導入推進、アカウント管理の適正化、情報セキュリティ教育の再徹底を挙げている。
- 当局対応
- 個人情報保護委員会
- 文部科学省等の監督官庁
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| IDとパスワードだけで入れるメールは、窃取された時点で乗っ取りにつながる | メールを含む全ユーザーにMFAを必須化し、レガシー認証（IMAP/POP/SMTP AUTHのパスワード単独認証）を無効化する。フィッシング耐性のあるFIDO2/パスキーの導入も検討する。 |
| 大量送信の検知が早ければ被害の広がりを抑えられる | アカウント単位の送信数・宛先数のしきい値アラートを設定し、超過時は自動で送信を保留またはアカウントを一時停止する。海外IPや未知端末からのログインも異常として検知する。 |
| メールボックスに情報が蓄積すると、影響範囲の特定と個別連絡が困難になる | 保存期間ポリシーを設けて古いメールを自動アーカイブ・削除し、機微情報の添付は共有ストレージへ移す。メールボックス単位のアクセスログを長期保管し、閲覧範囲を後から追跡できるようにする。 |
| 同種事案が繰り返されるため、個別対応ではなく共通対策が要る | 学部・キャンパスごとのメール環境を棚卸しして認証基準を統一し、MFA未設定アカウントを定期的に一覧化して是正する。フィッシング報告窓口とワンクリックの報告ボタンも整備する。 |
| 乗っ取られたアカウントから学内の受信者へ連鎖的な被害が起きる | 受信者向けに、外部サービスを装うログイン要求への対処手順を周知する。メールゲートウェイで類似ドメイン・URLのリアルタイム検査とリンク書き換えを有効にし、疑わしい場合はサインイン先ドメインを確認する訓練を行う。 |
自組織などでの確認項目
- 自組織のメールやグループウェアで、MFAが未設定のアカウントは何割あるか。レガシー認証は無効になっているか。
- 1人のアカウントから短時間に数百件以上の送信があった場合、何分で誰が気づき、誰がアカウントを止められるか。
- メールボックスに保存されている個人情報の量を把握しているか。万一乗っ取られた場合、閲覧された範囲を何日で特定できるか。
- 職員・教員・学生・委託先など立場の異なる利用者ごとに、フィッシング報告の窓口と手順は周知されているか。
未解明点
- 1月・2月・8月の各事案で、MFAや条件付きアクセスが有効だったか。窃取された認証情報でどのように認証を通過したのか。
- 保存された個人情報の種類・件数と、実際に取得されたかどうか（8月事案の内部データへのアクセス痕跡の具体的な範囲を含む）。
- 報道（理工学部の教職員1名・8月7日23時40分頃）と、大学公表の教員計5名の事案との関係。
- 3件の事案に共通の攻撃者や手口があったのか。また、8月7日の不正利用から29日の検知まで約3週間かかった理由。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-03-11報道本文確認済
- 2ScanNetSecurity2026-03-19報道本文確認済
- 3ScanNetSecurity2026-09-15報道本文確認済
- 4ScanNetSecurity2026-10-05報道本文確認済
- 5日本大学理工学部2026-03-04公式本文確認済
- 6日本大学2026-09-14公式本文確認済