ノストラム「SMART SPI」へのランサムウェア攻撃（福岡大学など委託元学生情報が最大33,668人分漏えいのおそれ）
公表日
就職試験対策サービス「SMART SPI」の運営会社ノストラムがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃を受け、福岡大学の学生情報が最大33,668人分漏えいしたおそれがあると公表されました。流出が確認された件数は示されていません。
対象者は？
福岡大学の令和5〜8年度の在籍学生（医学部医学科を除く）が対象で、学籍番号・生年月日が最大33,668人分、氏名（登録者のみ）が最大800人分、模擬試験等の受験結果が最大33,668人分とされています。同志社大学の筆記試験対策ポータルでは、利用登録時に入力した大学発行のメールアドレスが保存されていましたが、人数は公表されていません。上記以外の情報が含まれるかどうかは、確認できた資料には書かれていません。
福岡大学・同志社大学の学生や卒業生は、各大学が出している案内をご確認ください。
いますぐできること
- 心当たりのない不審なメールが届いたら、開いたりリンクをクリックしたりしないようにする。
- 福岡大学・同志社大学の学生や卒業生は、各大学の公式な案内を確認する。
何が起きたのか
ノストラムは2026年5月8日、社内サーバーがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃を受けて一部データが暗号化され、学習支援サービスが止まったと発表しました。同社の説明では、4月19日の午前5時ごろ、VPN経由でネットワークに入られたとのことです。その後、福岡大学が7月9日に、4月17日の時点で外部の攻撃者が侵入し、再び入るための裏口が作られていたと公表しました。学生情報が漏えいした可能性があるとされました。同志社大学も8月19日に、筆記試験対策ポータルが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けて停止していると発表しました。
なぜ起きたのか・なぜ広がったのか
VPNからの侵入とされていますが、具体的な原因は、確認できた資料には書かれていません。同じサービスを複数の大学が使っていたため、運営会社のサーバーへの攻撃の影響が、複数の大学の学生情報に及ぶおそれが生じました。
いまの状況2026-08-20 時点続報待ち
2026年8月20日時点で、情報を盗まれたことを示す直接的な証拠は確認されておらず、外部での公開も確認されていません。ただし、攻撃者のサイトにはデータを公開する旨の告知があり、盗まれた可能性は完全には否定されていません。ノストラムは、調査・復旧と脆弱性への対処を終え、別の新しい環境でシステムを作り直したと説明しています。同志社大学のポータルは停止中で、再開時期は未定です。
企業として考えたいこと
自社が使っている外部サービスの運営会社が攻撃を受けたとき、自社のお客様や社員の情報がそこに預けられているかどうかを、すぐに確認できますか。
技術的な要約
株式会社ノストラムは2026年5月8日、社内サーバーがランサムウェア攻撃を受け、一部データが暗号化されて学習支援サービスが停止したと公表した。同社によれば4月19日午前5時頃にVPN経由でネットワークへ侵入された。その後、福岡大学は7月9日、4月17日の時点で外部攻撃者が侵入しバックドアが構築されていたと公表し、学籍番号・生年月日などが最大33,668人分漏えいした可能性があるとした。同志社大学も8月19日、筆記試験対策ポータルの停止を公表した。情報窃取を示す直接的な証拠は確認されておらず、外部での公開も確認されていないとされるが、攻撃者のサイト上にはデータを公開する旨の告知があった。
公開情報が限られている点について
攻撃の分類
- 侵入口
- VPN/境界機器公表で確認ノストラムの発表では、4月19日午前5時頃にVPN経由で同社ネットワークにランサムウェアが侵入した。VPNの脆弱性や認証情報の流用などの具体的な原因は、提供された情報にはない。同志社大学の公表でも侵入経路は明らかにされていない。
- 脆弱性
- CVE 非公表不明ノストラムは脆弱性への対処を完了したと説明しているが、製品名やCVEは公表されていない。
- 攻撃者
- Thegentlemen 被害組織の言及なしransomware.liveがノストラムをThegentlemenの被害組織として掲載。ノストラム側の調査では、攻撃者のサイト上に窃取データを公開する旨の告知があったとされる。
- ATT&CK
影響
- 業務停止
- あり 社内サーバーのデータが暗号化されて起動不能となり、ノストラムの学習支援サービスが停止した。同志社大学の筆記試験対策ポータルも停止中で、再開時期は未定。期間：同志社大学の8月19日の公表時点でも停止中
- データ
- おそれ上限 33,668確定 —人氏名生年月日その他メール福岡大学分：学籍番号・生年月日が最大33,668人分、氏名（登録者のみ）が最大800人分、模擬試験等の受験結果が最大33,668人分。同志社大学分：利用登録時に入力した大学発行メールアドレスが保存されていたが、対象人数は非公表。情報窃取の直接的証拠は未確認で、外部での公開も確認されていない。
- 波及先
- 2 大学
- 福岡大学
- 同志社大学
- 金銭影響
- —
- サプライチェーン
- SMART SPIの開発・運用事業者であるノストラムのサーバーが侵害され、利用していた福岡大学の学生情報が漏えいした可能性が公表された。同志社大学もSMART SPIとみられる筆記試験対策ポータルを停止した。ただし同志社大学のリリースは事業者名とサービス名を明記していない。
時系列
- 2026-04-17福岡大学の公表によれば、この時点で外部攻撃者がノストラムのネットワークに侵入していた。3
- 2026-04-19 05:00
- 2026-04-19同志社大学は、不正アクセスが確認されたのは4月19日だとしている。2
- 2026-04-27ransomware.liveが推定攻撃日を2026-04-27としている。1
- 2026-05-06 10:08ransomware.liveがノストラムをThegentlemenの被害組織として掲載。発見日時は2026-05-06 10:08 UTC。1
- 2026-05-08
- 2026-05-21ScanNetSecurityがノストラムへの攻撃と学習支援サービス停止を報じた。4
- 2026-07-09
- 2026-07-27
- 2026-08-19同志社大学キャリアセンターが、筆記試験対策ポータルでのランサムウェアによる不正アクセスとサービス停止を公表した。2
技術解説
公表された経緯と侵入時期の整理 事実
ノストラムは2026年5月8日、社内サーバーがランサムウェア攻撃を受け、一部データが暗号化されて学習支援サービスが停止したと公表した。同社の説明では、4月19日午前5時ごろにVPN経由でネットワークへランサムウェアが侵入し、サーバーが起動不能になった。一方、福岡大学は7月9日、調査の結果として、4月17日の時点で外部の攻撃者が侵入していたと公表した。あわせてバックドアの構築も判明したとしている。同志社大学は、不正アクセスが確認されたのは4月19日だとしている。ransomware.liveの推定攻撃日は4月27日で、出典によって日付が異なる。
漏えいのおそれがある情報の範囲と確認状況 事実
福岡大学は、令和5〜8年度に在籍した学生（医学部医学科を除く）の情報が漏えいした可能性があるとした。内訳は、学籍番号・生年月日が最大33,668人分、氏名（登録者のみ）が最大800人分、模擬試験等の受験結果が最大33,668人分である。これらはいずれも「可能性のある上限」であり、流出が確定した件数は示されていない。同志社大学の分は、利用登録時に入力した大学発行メールアドレスが保存されていたが、対象人数は公表されていない。調査報告では情報窃取を示す直接的な証拠は確認されておらず、外部での公開も確認されていない。ただし、窃取の可能性は完全には否定できないとされ、攻撃者のサイトにはデータを公開する旨の告知があった。
委託先を起点に複数の大学へ波及した構造 解釈
今回の事案は、学習支援サービスの運営事業者が侵害され、そのサービスを使う複数の大学の学生情報が影響を受けるおそれが生じたものとして整理できる。ノストラムのサーバーに、福岡大学や同志社大学の学生に関する情報が保存されていた。そのため、事業者側の1か所の侵害が、利用大学ごとの公表と対応に分かれて波及した。利用者である学生から見ると、自分の情報が就活支援サービスの事業者側に置かれていること自体が分かりにくい。大学側も、委託先の環境を直接は管理できない。この点が、影響範囲の把握と通知に時間がかかりやすい背景にあると考えられる。
公表の時間差から見える課題 解釈
ノストラムの第1報は5月8日、福岡大学の公表は7月9日、同志社大学の公表は8月19日で、攻撃の発生から数か月にわたり段階的に情報が出た。また、同志社大学の公表では、対象人数・侵入経路・ランサムウェアの種類・攻撃者が示されていない。こうした時間差は、外部専門業者の調査や各大学の確認に時間を要した結果とも考えられるが、公表資料だけでは理由は分からない。侵入日が4月17日と19日で食い違う点も、調査の進行に伴い見解が更新された例として読める。委託元の利用者が全体像を把握しづらかった可能性はある。ただし、各組織の対応の適否は、公開情報だけでは断定できない。
対応
- 封じ込め
- ノストラムは警察と個人情報保護委員会への報告後、外部専門業者による調査・復旧と脆弱性対処を完了し、感染環境とは別の新環境でシステムを再構築したと説明している。福岡大学とノストラムは外部からのアクセスを遮断して安全な運用環境を構築した。同志社大学は専門業者と連携して影響範囲の調査とネット上の監視を続け、再開時期は未定。
- 公表の仕方
- ノストラムが2026年5月8日に第1報を公表し、福岡大学が7月9日、同志社大学が8月19日に公表した。同志社大学の公表では、対象人数・侵入経路・ランサムウェアの種類・攻撃者は明らかにされていない。利用者に直ちに必要な対応はないとし、不審なメールは開封やリンクのクリックを控えるよう呼びかけている。
- 当局対応
- 個人情報保護委員会
- 警察
- 文部科学省
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先に預けている個人情報の範囲を、委託元が把握しておく必要がある。 | 委託先ごとに、保存データ項目・対象人数・保存場所・保存期間を一覧化し、年1回以上更新する。契約に、データ項目の変更時の通知義務と、インシデント時の影響範囲報告の期限を明記する。 |
| VPNは外部から入れる入口であり、ランサムウェアの侵入口になり得る。 | VPNの認証に多要素認証を必須にする。接続元IP制限と、VPN機器のファームウェア更新の期限管理を行う。VPNの認証ログを保管し、深夜・早朝の不審なログインを検知するアラートを設定する。 |
| 復旧後も、バックドアなどの再侵入手段が残っていないか確認する必要がある。 | 復旧時は感染環境を流用せず、クリーンな環境で再構築する。認証情報（VPN・管理者・サービスアカウント）を全て再発行する。EDRのログで、不審なアカウント作成・常駐設定・外部通信を点検する。 |
| 暗号化されたデータは、窃取されている可能性も合わせて考える必要がある。 | 暗号化の被害確認と並行して、外部への大量通信ログ、ファイル圧縮・転送の痕跡を調べる。リークサイト監視を外部業者に依頼し、掲載を検知した際の通知手順を委託元との間で事前に決めておく。 |
| 調査の進行で侵入日などの見解が変わり得るため、続報の出し方を決めておく必要がある。 | 第1報では、確認済みの事実と調査中の事項を分けて書く。続報で内容を更新する場合の判断基準と公表窓口を事前に決める。委託元・委託先で、公表内容と時期を調整する連絡経路を確立しておく。 |
自組織などでの確認項目
- 自組織が利用している外部の学習・研修・就活支援などのサービスに、どの個人情報（学籍番号、生年月日、メールアドレス等）が保存されているか、一覧で説明できますか。
- 委託先でインシデントが起きた場合、委託先から自組織へ何時間以内に、どの項目を連絡してもらう契約になっていますか。その内容を実際に確認できますか。
- 自組織のVPNには多要素認証が入っていますか。また、機器の更新状況と深夜帯のログインを、誰がいつ確認していますか。
- 復旧後に、バックドアや不要なアカウントが残っていないことを確認する手順と、その確認を行う担当者が決まっていますか。
未解明点
- VPNからの侵入の具体的な原因（機器の脆弱性か、認証情報の流用か等）は公表されていますか。
- 同志社大学の対象人数や、保存されていた情報の範囲は公表されていますか。
- 侵入日が4月17日とされる点と、ノストラムが説明した4月19日の関係はどう整理されますか。
- SMART SPIを利用していた福岡大学・同志社大学以外の大学や団体に影響はありましたか。
- 同志社大学を含む一部サービスの再開時期は、いつ発表されますか。
出典
- 1ransomware.live2026-05-06攻撃者主張本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-20報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-07-10報道本文確認済
- 4ScanNetSecurity2026-05-21報道本文確認済
- 5ScanNetSecurity2026-07-27報道本文確認済