千葉大学Microsoft 365アカウントへの不正アクセス（学生ら4アカウント侵害・迷惑メール1301通送信）
公表日
千葉大学のMicrosoft 365アカウント4件が第三者に不正に使われ、計1301通の迷惑メールが送られた。学生47名と教員1名の氏名が見られた可能性がある。
対象者は？
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けた4アカウントの利用者と、共有フォルダ内の授業レポート等に氏名が含まれていた学生47名・教員1名（最大48名、閲覧が確認された人数は未公表）。流出の可能性があるのは氏名で、これ以外の機密情報の流出は確認されていないとされる。
個人情報の流出の可能性がある学生には、大学から個別に連絡が済んでいるとされる。心当たりがある場合は、大学の公式のお知らせを確認する。
いますぐできること
- 他のサービスとパスワードを使い回していないか確認し、使い回している場合は変更する。
- 利用できるサービスでは、多要素認証（MFA）パスワード（知っているもの）に加えて、スマートフォンへの通知やコード（持っているもの）、指紋や顔（体の特徴）など、別の種類の確認を組み合わせるログイン方式です。パスワードが漏れても、それだけではログインされにくくなります。を設定する。
- メールのリンクからパスワードを入力する前に、公式の入り口から開き直す。
何が起きたのか
2026年1月30日、千葉大学は学生のアカウント1件から短時間に630件のメールが送信されたことを検知し、そのアカウントをすぐに止めた。その後の調べで、計4件のアカウントに同じような不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の形跡が見つかった。海外のIPアドレスからのサインインに成功した記録も確認された。2025年11月以降に残っていた記録では、計1301通の迷惑メールが送られていた。4アカウントのうち3つが使っていた共有フォルダの内容が閲覧された可能性があり、学生47名と教員1名の氏名が含まれていた。大学は2026年4月17日に公表した。
なぜ起きたのか・なぜ広がったのか
大学は原因を現時点で不明としている。フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。サイトによる攻撃、または他のサービスから流出したパスワードの一覧を使った不正ログインの可能性が高いと考えている。記録が2025年11月以降のものしか残っておらず、いつから侵害されていたかは公表されていない。
いまの状況2026-04-17 時点続報待ち
2026年4月17日時点で、4アカウントはすべて停止されている。個人情報の流出の可能性がある学生には個別に説明とお詫びが行われた。大学は2026年4月1日からMicrosoft 365の全利用者に多要素認証を導入し、2026年度中に注意喚起と情報リテラシー教育を強める予定である。原因の特定や侵害の開始時期の続報は、まだ発表されていません。
企業として考えたいこと
もし自社のクラウドアカウントが1つ乗っ取られたとき、そのアカウントがアクセスできる情報の範囲と、検知から停止までの手順を、すぐに説明できるだろうか。
技術的な要約
千葉大学は2026年4月17日、同学のMicrosoft 365アカウントが第三者による不正アクセスを受け、迷惑メールの大量送信と個人情報が閲覧された可能性があると公表した。発端は2026年1月30日、学生アカウント1件から短時間に630件のメールが送信されたのを検知し緊急停止したことである。その後の調査で計4アカウントに同様の不正アクセスの形跡が確認され、現存ログ（2025年11月以降）では計1301通の迷惑メール送信が確認された。4アカウントのうち3アカウントが利用していた共有フォルダのデータが閲覧された可能性があり、含まれる個人情報は学生47名と教員1名の氏名である。原因は不明だが、フィッシングサイト攻撃またはリスト型アカウントハッキングの可能性が高いとされ、全4アカウントの停止、2026年4月1日からの全利用者へのMFA導入などが実施された。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用報道・研究者海外のIPアドレスから当該アカウントへのサインイン成功ログが確認された。大学は原因を「現時点で不明」としつつ、フィッシングサイト攻撃、または他社サービスから流出したパスワードリスト等を用いたリスト型アカウントハッキングの可能性が高いと考えている。
- 脆弱性
- CVE 非公表公表で確認授業用サーバに導入されているソフトウェア（製品名非公表）Microsoft 365の事案とは別の2025年12月6日の事案（教員が外部サービス上で運用する授業用サーバが攻撃の踏み台になった）。ソフトウェアの脆弱性を悪用されたとされ、製品名・CVEは記載なし、詳細は調査中。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 対象の全4アカウントを停止した。中核業務の停止は公表されていない。
- データ
- おそれ上限 48確定 —人氏名その他閲覧された可能性のある共有フォルダ（学生が作成した授業レポート等の課題データ）に含まれる個人情報は学生47名と教員1名の氏名（47+1=48人は本JSONでの合算）。4アカウントのうち3アカウントが共有フォルダを利用、1アカウントは共有フォルダの利用がなくデータ保管なし。上記以外の機密情報の流出は確認されていない。迷惑メールは現存ログ（2025年11月以降）で計1301通。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2025-12-01千葉大学が利用するクラウドサービスで職員1名のアカウントが第三者に不正利用され、52件の迷惑メールが送信された（Microsoft 365の4アカウント事案とは別件として公表）。2
- 2025-12-01クラウドサービスの自動アラートを受けて調査し、本人の操作ではないと確認して当該アカウントを直ちに停止した。2
- 2025-12-06教員が外部サービス上で運用する授業用サーバが、ソフトウェアの脆弱性を悪用されて不正アクセスを受け、第三者への攻撃の踏み台になっていたことが判明。外部サービス提供事業者からの連絡を受け、サーバを直ちに停止した。2
- 2025-12-25大学が上記2件の情報セキュリティインシデントを公表し、再発防止に努めるとした。2
- 2026-01-30
- 2026-04-01Microsoft 365全利用者に対する多要素認証（MFA）を導入した。3
- 2026-04-17調査の結果、海外のIPアドレスからのサインイン成功ログを確認。計4アカウントに同様の不正アクセスの形跡があり、現存ログ（2025年11月以降）で計1301通の迷惑メール送信を確認した。3
- 2026-04-17
- 2026-04-21報道（セキュリティ対策Lab）が本件を報じた。1
技術解説
発覚から公表までの経緯 事実
千葉大学の公表によると、2026年1月30日に学生のアカウント1件から短時間に630件のメールが送信されたことを検知し、当該アカウントを緊急停止した。これが本件の発端である。その後の調査で、計4件のアカウントに同様の不正アクセスの形跡が確認された。調査では、海外のIPアドレスから当該アカウントへのサインイン成功ログが確認されている。現存しているログ（2025年11月以降）から、侵害された4アカウントが計1301通の迷惑メールを送信していたことが確認された。大学は2026年4月17日に、メールの大量送信と個人情報が閲覧された可能性があることを公表した。
閲覧された可能性のある情報の範囲 事実
不正アクセスを受けた4アカウントのうち、3アカウントが利用していた共有フォルダ内のデータが第三者に閲覧された可能性がある。データは学生が作成した授業レポート等の課題で、含まれていた個人情報は学生47名の氏名と教員1名の氏名である。残る1アカウントは共有フォルダの利用がなく、データの保管もなかった。上記以外の機密情報の流出は確認されていないとされる。なお、47名と1名を足した48名という数字は大学が示した合計ではなく、本分析での合算である。また「閲覧された可能性」の段階であり、閲覧が確定した件数は公表されていない。
原因についての大学の説明 事実
大学は原因を現時点で不明としている。そのうえで、フィッシングサイト攻撃、または他社サービスから流出したパスワードリスト等を用いたリスト型アカウントハッキングによる不正アクセスの可能性が高いと考えている。確認されている事実は、海外のIPアドレスからのサインインが成功していたことである。侵入の開始日は公表されておらず、ログが2025年11月以降のものしか現存していないと説明されている。CVEなど特定の脆弱性の悪用は、本件については示されていない。攻撃者に関する情報や犯行声明も、参照した公表資料には記載がない。
対応と再発防止策 事実
大学は不正アクセスを検知した直後に、対象となる全4アカウントを停止した。個人情報の流出の可能性がある学生には、個別に状況の説明とお詫びの連絡を実施済みである。再発防止策として、2026年4月1日からMicrosoft 365の全利用者に対して多要素認証（MFA）を導入した。さらに2026年度中に、本件を踏まえた注意喚起と情報リテラシー教育の強化を実施するとしている。事業の停止や金銭的な影響については、公表資料に記載がない。
全体像の読み取りと留意点 解釈
本件は、パスワードだけで守られたクラウドアカウントが海外から使われ、迷惑メールの送信元になった事案と読める。検知のきっかけはメール送信量の急増であり、送信の挙動を手がかりにした監視が効いた例といえる。一方、現存ログが2025年11月以降に限られるため、侵害の開始時期や実際の被害の全体像は、ログの保持期間に左右された可能性がある。MFAの全員導入が4月1日で、検知から約2か月後であった点は、運用上の調整に時間を要した結果かもしれないが、理由は公表されていない。2025年12月に別のクラウド上の職員アカウントの不正利用も公表されているが、本件との関連は資料に示されていない。
対応
- 封じ込め
- 不正アクセスを検知した直後に対象の全4アカウントを停止した。2026年4月1日からMicrosoft 365全利用者に対する多要素認証（MFA）を導入し、2026年度中に注意喚起及び情報リテラシー教育の強化を実施するとした。
- 公表の仕方
- 2026年4月17日に大学が公表。個人情報の流出可能性がある学生には個別に状況説明とお詫びの連絡を実施済み。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| パスワードのみの認証は、フィッシングやパスワードリストによる不正ログインに弱い。 | Entra IDの条件付きアクセスで全ユーザーにMFAを必須にし、レガシー認証をブロックする。フィッシング耐性のあるFIDO2やパスキーの対象を段階的に広げる。 |
| メール送信量の急増が検知の入口になった。送信の異常を早く見つける仕組みが被害の拡大を抑える。 | Exchange Onlineの送信制限とアウトバウンドスパムポリシーを設定する。短時間の大量送信でアラートを出し、アカウントを自動ブロックする運用を整える。 |
| 現存ログが2025年11月以降に限られ、侵入開始時期や被害全体の把握が難しくなる。 | サインインログと監査ログを、Sentinelなどの外部基盤へ長期保管（1年以上など）で転送する。保持期間をインシデント対応の要件から決める。 |
| 共有フォルダに授業レポートなどの個人名を含むデータが置かれ、アカウント侵害時の閲覧範囲が広がる可能性がある。 | SharePointやOneDriveの共有リンクを定期棚卸しし、外部共有を制限する。個人情報を含むファイルには秘密度ラベルを付け、アクセス権を最小化する。 |
| 海外IPからのサインイン成功など、通常と違う挙動を見逃さない運用が要る。 | リスクのあるサインインを検出する機能（Entra ID Protection等）を有効にし、国や場所による条件付きアクセスと、リスクの高いセッションの自動ブロックを設定する。 |
自組織などでの確認項目
- 自組織のクラウドアカウントは、全利用者（学生・非常勤・委託先を含む）でMFAが必須になっているか。例外アカウントは何件あり、誰が管理しているか。
- 自組織のサインインログや監査ログは、何か月分さかのぼって調べられるか。侵害の開始時期を特定するのに足りる期間か。
- メールの大量送信や海外からのサインインを検知したとき、誰が何分以内にアカウントを停止する手順になっているか。実際に訓練したことはあるか。
未解明点
- 4アカウントの侵害が始まった時期と、どのアカウントがいつ侵害されたかは公表されていない。
- フィッシングかパスワードリストの利用か、実際の原因はまだ特定されていない。
- 共有フォルダのデータが実際に閲覧されたかどうかは確認されていない。
- 2025年12月に公表された別の2件（職員アカウントの不正利用と授業用サーバ）との関連の有無は説明されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-04-21報道本文確認済
- 2国立大学法人 千葉大学2025-12-25公式本文確認済
- 3国立大学法人 千葉大学2026-04-17公式本文確認済