八王子学園（八王子中学校・高等学校）へのランサムウェア攻撃（サーバー保存ファイルが全て暗号化・復旧見込み立たず）
公表日
八王子学園（八王子中学校・高等学校）のサーバーがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の被害を受け、保存されていた全ファイルと一部の教職員端末のファイルが暗号化されました。9月30日時点で、元に戻す見込みは立っていません。
対象者は？
在校生、卒業生、受験生とその保護者、教職員、退職者の個人情報を含むファイルが暗号化されました。外部へ流出した明確な痕跡は確認されていませんが、攻撃者が一部のログを削除したため、完全には否定できないとされています。対象人数や個人情報の項目はまだ発表されていません。
個別に対象かどうかを確認する方法は、まだ発表されていません。学園の発表内容は、下の報道記事で確認できます。
いますぐできること
- 関係者の方は、学園からの今後のお知らせを確認してください。
- 学園を名乗る心当たりのない連絡や、個人情報を尋ねる連絡があった場合は、慎重に対応してください。9月30日時点で、二次被害の報告はありません。
何が起きたのか
4月26日に攻撃者が学園のシステムへの侵入を試みましたが、この時は失敗しました。7月8日にサーバーへの侵入に成功し、7月10日未明にランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。を実行しました。サーバーに保存されていた全ファイルと、一部の教職員端末のファイルが暗号化されました。学園は7月13日に被害を公表し、対策本部を設置して、警察や外部の専門家、弁護士の助言を受けながら対応しています。代表メールアドレスも使えなくなりました。9月30日の第2報で、調査結果と今後の方針が示されました。
なぜ起きたのか・なぜ広がったのか
外部の調査会社の調査で、攻撃者はファイアウォールを不正な手段で突破し、RDP離れた場所からパソコンやサーバーを、目の前にあるように操作できる仕組みです。便利な反面、インターネットから直接使える状態だと、パスワードを総当たりで試されて侵入されやすくなります。（遠隔操作の仕組み）でサーバーにログインしたことが分かりました。ただし、具体的な突破方法や、攻撃者がどのグループなのかは発表されていません。攻撃者が一部のログ（操作の記録）を削除したため、情報が外に出たかどうかを完全には否定できない状況です。
いまの状況2026-09-30 時点続報待ち
2026年9月30日時点で、暗号化されたファイルを元に戻す見込みは立っておらず、技術的にも極めて困難と学園は説明しています。調査では新たな侵入やウイルスの動きは確認されていません。学園は、安全性を優先したネットワークの作り直しを進め、侵入経路と考えられるRDP接続を今後遮断します。生徒のタブレットやスマートフォンのネットワークは被害を受けたネットワークと分けられており、そこから被害が広がることはないと報告されています。復旧の時期や、被害を受けた件数は、まだ発表されていません。
企業として考えたいこと
自社でも、外部から社内サーバーへ遠隔接続できる入り口がどこにあるかを把握し、その入り口を守る仕組みと、全ファイルが使えなくなっても戻せるバックアップがあるかを確認できていますか。
技術的な要約
学校法人八王子学園は2026年7月13日、八王子中学校・高等学校の一部サーバーが第三者による不正アクセスおよびランサムウェアの被害を受けたと公表した。9月30日の第2報では、外部調査会社のフォレンジック調査により、攻撃者が不正な手段でファイアウォールを突破し、RDPでサーバーにログインして侵入したことが判明したと説明している。攻撃者は4月26日の侵入試行に失敗した後、7月8日に侵入に成功し、7月10日未明にランサムウェアを実行した。サーバー保存の全ファイルと一部教職員端末のファイルが暗号化され、在校生・卒業生・受験生とその保護者・教職員・退職者の個人情報を含むファイルも対象となった。情報流出の明確な痕跡は確認されていないが、一部ログが削除されたため完全には否定できず、9月30日時点で暗号化ファイルを元に戻す見込みは立っていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- RDP報道・研究者第2報によると、攻撃者は不正な手段でファイアウォールを突破し、サーバーへリモートデスクトップ接続（RDP）でログインして内部へ侵入した。RDPポートの直接公開の有無、VPN経由の有無、認証情報窃取、ブルートフォース、ファイアウォール脆弱性の悪用、MFA導入の有無は公表されていない。
- 脆弱性
- CVE 非公表不明ファイアウォール（製品名非公表）「不正な手段でファイアウォールを突破」と報じられているが、脆弱性の悪用かどうかを含め具体的手法や製品名は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり サーバー保存の全ファイルと一部教職員端末のファイルが暗号化された。学園の代表メールアドレスが不通となった。9月30日時点で暗号化ファイルを元の状態に戻す見込みは立っておらず、技術的にも極めて困難と説明している。期間：7月13日時点で代表メール不通。復旧時期は未公表
- データ
- おそれ上限 —確定 —暗号化されたファイルには在校生、卒業生、受験生とその保護者、教職員、退職者の個人情報を含むファイルが含まれる。生徒が「情報」の授業で作成したファイルも暗号化された。フォレンジックで外部流出の明確な痕跡や、圧縮・クラウドへのアップロード等の持ち出し行為は確認されていないが、攻撃者により一部ログが削除されたため流出は完全には否定できない。件数・個人情報の項目は公表されていない。9月30日時点で警察等から二次被害の報告はない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 生徒のタブレット・スマートフォンが接続するネットワークは被害ネットワークと分離されており、外部調査会社から端末経由で被害が広がることはないとの報告を受けている。
時系列
- 2026-04-26攻撃者が不正アクセスを試みたが、この時点では侵入に失敗した。2
- 2026-07-08攻撃者がサーバーへの侵入に成功した（ファイアウォールを突破しRDPでログイン）。2
- 2026-07-10未明にランサムウェア攻撃が実行され、サーバー保存の全ファイルと一部教職員端末のファイルが暗号化された。2
- 2026-07-10同日早朝に攻撃者がシステムからログアウトしたことが確認された。2
- 2026-07-13
- 2026-07-15セキュリティ対策Labが第1報を報道。この時点で情報流出の有無、被害範囲、攻撃者の特定には至っていない。1
- 2026-07-29ScanNetSecurityが同校へのランサムウェア攻撃を報道した。3
- 2026-08外部調査会社によるフォレンジック調査が8月末に完了した。2
- 2026-09-30学園が第2報を公表。RDPによる侵入経路、流出の明確な痕跡なし（一部ログ削除のため完全否定不可）、暗号化ファイルの復旧見込みなし、ネットワーク再構築とRDP接続の遮断方針を説明した。2
技術解説
攻撃の経過と判明した侵入経路 事実
2026年9月30日の第2報によると、外部調査会社のフォレンジック調査で、攻撃者は不正な手段でファイアウォールを突破し、サーバーへリモートデスクトップ接続（RDP）でログインして内部へ侵入していたことが判明した。攻撃者は4月26日に一度不正アクセスを試みたが、この時点では侵入に失敗している。その後7月8日にサーバーへの侵入に成功し、7月10日未明にランサムウェア攻撃を実行した。同日早朝には攻撃者がシステムからログアウトしたことも確認されている。一方で、RDPポートの直接公開の有無、VPN経由の有無、認証情報窃取、ブルートフォース、ファイアウォール脆弱性の悪用、MFA導入の有無は公表されていない。フォレンジック調査は8月末に完了している。
暗号化の範囲と情報流出の調査結果 事実
暗号化されたのは、サーバーに保存されていたすべてのファイルと、一部教職員端末のファイルである。在校生、卒業生、受験生とその保護者、教職員、退職者の個人情報を含むファイルも対象となり、生徒が「情報」の授業で作成したファイルも暗号化された。フォレンジック調査では外部へ流出した明確な痕跡は確認されず、ファイル圧縮やクラウドサービス等へのアップロードなど持ち出しを示す行為も確認されていない。ただし攻撃者によって一部ログが削除されているため、学園は流出を完全には否定できないとしている。9月30日時点で、警察などから個人情報の公開や不正利用などの二次被害は報告されていない。件数や個人情報の項目は公表されていない。
公表と対応の経過 事実
学校法人八王子学園は2026年7月13日に第1報を公表し、一部サーバーが第三者による不正アクセスおよびランサムウェアの被害を受けたと明らかにした。対策本部を設置し、八王子警察署・外部専門家・顧問弁護士の助言を受けながら原因究明と復旧対応を進めている。対応に伴い代表メールアドレスが不通となり、関係者に多大な心配をかけていることを陳謝した。9月30日の第2報では、侵入経路、攻撃日、暗号化範囲、流出調査の結果を示した。再発防止として、安全性を優先したネットワークの再構築を進め、侵入経路と考えられるRDP接続を今後遮断する。新たな侵入やマルウェア活動は確認されていない。生徒の端末のネットワークは被害ネットワークと分離されており、端末経由で被害が広がることはないとの報告を受けている。
復旧が難しくなった背景についての考察 解釈
サーバー保存の全ファイルが暗号化され、9月30日時点でも元に戻す見込みが立っていない点は、本事案の特徴である。ただし、バックアップの有無や保管方法、構成は公表されていないため、復旧が困難な理由は外部からは判断できない。ここからは公表内容を踏まえた解釈である。校内ファイルサーバーに授業・事務・個人情報を含むデータが集まる構成は教育機関で一般的に見られ、暗号化の影響が広範囲に及びやすい。また4月の侵入試行から7月の成功までに約2か月半あり、その間に外部からの接続口が継続して狙われていた可能性もあるが、4月と7月の攻撃が同一主体かは公表されていない。攻撃者がログを削除したため、流出の有無の確証が得られにくくなった点も、調査と説明の難しさにつながっている。
対応
- 封じ込め
- 対策本部を設置し、八王子警察署・外部専門家・顧問弁護士の助言を受けながら原因究明と復旧対応を進めた。外部調査会社によるフォレンジック調査は8月末に完了。再発防止として安全性を優先したネットワークの再構築を進め、侵入経路と考えられるRDP接続を今後遮断する。9月30日時点で新たな侵入やマルウェア活動は確認されていない。
- 公表の仕方
- 2026年7月13日に第1報、9月30日に第2報を公表。第1報で関係者に多大な心配をかけていることを陳謝した。第2報で侵入経路、攻撃日、暗号化範囲、流出調査結果を示した。攻撃者およびランサムウェア種別、4月と7月の攻撃が同一主体かは公表していない。
- 当局対応
- 八王子警察署（助言を受けて対応）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| リモートデスクトップ（RDP）接続を外部から直接受け付けない設計が重要である。 | 境界のファイアウォールでRDP（TCP/3389等）の外部公開を禁止し、遠隔保守はVPNまたはゲートウェイ経由に限定する。多要素認証を必須にし、外部からの接続元IPを制限して、定期的に外部からポートスキャンで公開状況を確認する。 |
| 侵入試行の兆候を検知し、成功前に対処できる体制が要る。 | ファイアウォールとサーバーの認証ログをSIEM等に集約し、RDPの失敗ログオン多発や未知の接続元からの試行をアラート化する。ログは改ざん・削除されにくい別系統へ転送し、少なくとも半年から1年分を保管する。 |
| バックアップが同一ネットワーク内で暗号化されると復旧できなくなる。 | 3-2-1ルールに基づき、オフライン保管またはイミュータブル（書き換え不可）なバックアップを用意する。バックアップ用の認証情報は本番ドメインと分離し、四半期ごとにリストア訓練を行って所要時間を記録する。 |
| 攻撃者によるログ削除で流出有無の判断が難しくなる。 | サーバーとは別の場所に、追記専用でログを送るリモートログ基盤を用意する。EDRを導入してプロセス実行やファイル操作の記録を取り、ネットワーク通信量のフローログも保存して、持ち出し行為の事後検証に備える。 |
| 生徒用ネットワークと校内業務ネットワークの分離は被害拡大の抑止に有効である。 | VLANやファイアウォールゾーンで生徒用、教職員用、サーバー用を分け、ゾーン間は必要な通信だけを許可する。定期的にルールを棚卸しし、ゾーンをまたぐ管理者権限の共用をなくす。 |
自組織などでの確認項目
- 自組織のファイアウォールで、RDPなどのリモート管理ポートが外部に公開されていないか、直近の設定とスキャン結果で確認できますか。
- ファイルサーバーのバックアップは、侵入者が到達できないオフラインまたは書き換え不可の場所にもありますか。最後にリストアを試したのはいつですか。
- 認証ログやファイアウォールのログは、本番環境とは別の場所に何日分保管されていますか。侵入者がサーバー上のログを消しても、流出の有無を調べられますか。
- 学校や教育機関の個人情報（生徒・受験生・保護者・退職者の情報など）が、どのサーバーや端末に保存されているか、一覧で把握していますか。
未解明点
- 攻撃者とランサムウェアの種類は公表されていない。4月26日の侵入試行と7月の攻撃が同一主体かも未公表である。
- 侵入に使われたファイアウォールの突破手段（脆弱性の悪用、認証情報の窃取、設定の問題など）と製品名は公表されていない。
- 暗号化されたファイルの件数、個人情報の項目、影響を受けた人数は公表されていない。バックアップの状況と、代表メールを含む業務の復旧時期も未公表である。
出典
- 1セキュリティ対策Lab(合同会社ロケットボーイズ)2026-07-15報道本文確認済
- 2セキュリティ対策Lab(合同会社ロケットボーイズ)2026-10-02報道本文確認済
- 3ScanNetSecurity2026-07-29報道本文確認済