津田塾大学元職員による個人情報の匿名掲示板への投稿（最大22,444名が漏えいの可能性、投稿確認は9名）
公表日
津田塾大学の元職員が、大学が保有する個人情報の一部を匿名掲示板に投稿していました。投稿されたのは9名分で、情報が漏れた可能性がある在籍者は最大22,444名とされています。
対象者は？
1996年4月以降2025年7月までに同大学に在籍し、学事システムに在学中の情報があった方で、最大22,444名です。対象の情報は、氏名、メールアドレス、在学時に登録した住所・電話番号、所属学部・学科・学籍番号、就職先(一部卒業生)です。実際に掲示板に投稿されたのは9名で、9名以外の流出は現時点で確認されていません。
投稿された9名には、大学から個別に連絡済みです。それ以外の方への通知方法は、まだ発表されていません。詳しくは大学の公式お知らせをご確認ください。
いますぐできること
- 大学の公式お知らせを読み、自分が対象の期間に在籍していたか確認する。
- 身に覚えのない電話やメールが来ても、慌てて応じない。不安なときは大学の案内に従って相談する。
何が起きたのか
2025年7月13日、外部からの通報で、学事システム上の4名分の個人情報ページの画像と、5名分の氏名・学籍番号が書かれた私物の画像が、匿名掲示板に投稿されていたことがわかりました。投稿は直後に削除されていたことが確認されています。その後、投稿したのは元職員だったと判明しました。2025年10月に元職員が器物損壊罪等で逮捕されたと報じられ、大学は2026年5月8日に詳しい内容を発表しました。投稿された方の一部には、無言電話がありました。
なぜ起きたのか・なぜ広がったのか
大学によると、学事システムの一部の情報で閲覧の権限設定に不備があり、元職員は在職中に、本来は権限のない情報にもアクセスできた可能性がありました。そのため、システムに情報があった在籍者が、漏えいの可能性がある対象に含まれました。権限設定の不備がいつからあったかは、まだ発表されていません。
いまの状況2026-05-21 時点続報待ち
大学は、投稿された9名に個別に連絡して対応しています。警察と個人情報保護委員会にも報告済みです。再発防止として、アクセス権限の見直しと不要な権限の削除、システムログの記録・保存の徹底、全教職員への研修を行うとしています。9名以外の流出は現時点で確認されていません。実際にアクセスされた範囲などの詳細は、まだ発表されていません。
企業として考えたいこと
自社の社員は、業務に必要な範囲を超えて顧客や従業員の個人情報を見られる状態になっていないでしょうか。また、誰がいつ何を見たかを後から確認できるでしょうか。
技術的な要約
津田塾大学は2026年5月8日、元職員が保有個人情報の一部を匿名掲示板に投稿していたと発表した。2025年7月13日に外部からの通報で、学事システム「TsudaNet Portal System」上の4名の個人情報ページの画像と、5名の個人情報（氏名、学籍番号）が記載された私物の画像の投稿が判明し、その後投稿者が元職員だったとわかった。同システムの一部情報で閲覧権限設定に不備があり、元職員が在職中に本来権限のない情報にもアクセスできた可能性が確認されている。投稿されたのは9名で、漏えいの可能性がある対象者は1996年4月以降2025年7月までに在籍した22,444名である。9名以外への流出は現時点で確認されておらず、警察と個人情報保護委員会へ報告済みである。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 内部者公表で確認学事システム「TsudaNet Portal System」で一部情報の閲覧権限設定に不備があり、元職員が在職中に本来権限を持たない情報にもアクセスできる状態が生じていた可能性があった（大学公表）。
- 脆弱性
- CVE 非公表公表で確認TsudaNet Portal System一部情報の閲覧権限設定の不備。CVEの記載なし。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止の記載なし。
- データ
- おそれ上限 22,444確定 9人氏名メール住所電話その他漏えいの可能性がある対象は、1996年4月以降2025年7月までに在籍し同システムに在学中の情報を保有していた22,444名。情報は氏名、メールアドレス、在学時登録の住所・電話番号、所属学部・学科・学籍番号、就職先（一部卒業生）。掲示板に投稿されたのは9名（システム上の個人情報ページ画像4名、私物画像5名で氏名・学籍番号）。9名以外の流出は未確認。投稿は直後に削除されたことを確認。
- 波及先
- —
- 投稿された方の一部に無言電話が確認された。それ以外の被害は確認されていない。
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2025-07-13外部からの通報により、学事システム上の4名の個人情報ページ画像と、5名の個人情報が記載された私物の画像が匿名掲示板に投稿されていたことが判明した。2
- 2025-07投稿直後に投稿された個人情報が削除されていたことを確認した。2
- 2025-07投稿発覚直後、投稿された方の一部に無言電話が確認された。2
- 2025-07投稿したのは元職員であったことが判明した。2
- 2025-10
- 2026-05-08
- 2026-05-08投稿された9名に個別連絡し、状況説明と対応を実施していることを公表した。2
- 2026-05-08警察および個人情報保護委員会への報告を行っていることを公表した。2
- 2026-05-21ScanNetSecurityが本件を報じた。1
技術解説
判明の経緯と投稿内容 事実
2025年7月13日、外部からの通報により、学事システム「TsudaNet Portal System」上の4名の個人情報ページの画像と、5名の個人情報(氏名、学籍番号)が記載された私物の画像が、匿名掲示板に投稿されていたことがわかった。その後、投稿したのは元職員であったことが判明した。投稿された個人情報は投稿直後に削除されていたことを確認している。投稿されたのは9名で、9名には個別に連絡し、状況説明と対応を行っている。9名以外の個人情報が外部に流出した事実は現時点で確認されていない。投稿発覚直後、投稿された方の一部に無言電話が確認されたが、それ以外の被害は確認されていない。2025年10月に元職員が器物損壊罪等で逮捕された旨が報道され、大学は2026年5月8日に発表した。
権限設定の不備と漏えいの可能性がある範囲 事実
大学の発表によると、学事システムで一部情報の閲覧権限設定に不備があった。そのため、元職員が在職中に本来権限を持たない情報にもアクセスできる状態が生じていた可能性があったことが確認された。漏えいの可能性がある対象者は、1996年4月以降2025年7月までに在籍し、同システムに在学中の情報を保有していた22,444名である。情報は、氏名、メールアドレス、在学時に登録した住所・電話番号、所属学部・学科・学籍番号、就職先(一部卒業生)とされている。22,444名は可能性のある上限であり、掲示板への投稿が確認されたのは9名である。警察と個人情報保護委員会への報告も行っている。
「可能性」の数字の読み方と公表への見方 解釈
権限設定の不備は、担当業務を超えた情報の閲覧を、仕組みの上では妨げられない状態だったことを示唆する。ただし公表は「可能性があった」という表現にとどまり、実際にどの範囲が閲覧されたかは示されていない。そのため22,444名という数は、実際の閲覧件数ではなく、閲覧できた可能性のある母集団の上限と読むのが妥当と考えられる。投稿が確認された9名との差は大きい。この差をどこまで絞り込めるかは、アクセスログの保存と確認の状況に左右されるとみられる。再発防止策にログの記録・保存の徹底が含まれることは、この点が課題として意識されていることを示す可能性があるが、公表からは断定できない。
対応
- 封じ込め
- アクセス権限の見直しと不要な権限の削除、システムログの記録・保存の徹底、全教職員への情報セキュリティ研修・コンプライアンス研修の実施を再発防止策とした。投稿された個人情報は投稿直後に削除されていた。
- 公表の仕方
- 2026-05-08に大学サイトで「個人情報漏えいに関するお詫びとお知らせ」を公表した。投稿された9名には個別に連絡済みで、漏えいの可能性がある22,444名の範囲と情報項目も示した。
- 当局対応
- 警察
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 閲覧権限は職務に必要な範囲に絞らないと、内部者が想定外の情報にも届いてしまう。 | 学事システムのロール定義を棚卸しし、職務ごとに閲覧可能な項目・学生範囲を最小権限で設定する。年1回以上、ロールと割当ユーザーを突き合わせて不要権限を削除する。 |
| 閲覧ログが残っていないと、漏えいの可能性のある範囲を絞り込めず、通知対象が広がる。 | 個人情報ページの閲覧・検索・出力を、利用者ID・対象者ID・時刻付きで記録する。ログは改ざん困難な別基盤に保存し、保存期間を定める。 |
| 異常な閲覧を後から調べるだけでなく、日常的に検知できる体制が要る。 | 1人あたりの閲覧件数や担当外学生の閲覧に閾値を設け、超過時にアラートを出す。アラートは情報システム部門と管理部門の双方で確認する運用にする。 |
| システム外の持出し(画面撮影や私物端末への保存)はアクセス制御だけでは防ぎにくい。 | 個人情報ページに閲覧者IDの透かし表示を入れ、画像流出時に追跡できるようにする。一括出力や印刷は権限と理由の申請制にし、実施内容を記録する。 |
| 退職・異動で権限が残ると、不要なアクセス経路になる。 | 人事システムの異動・退職情報と連動してアカウント権限を自動で失効・見直しする。退職日当日に全システムの権限が止まることを定期的にテストする。 |
自組織などでの確認項目
- 自組織の主要システムで、職務上不要な個人情報まで閲覧できるロールはないか。直近で権限の棚卸しをしたのはいつか。
- 利用者ごとの個人情報の閲覧ログは記録・保存されているか。漏えいの疑いが出たとき、何日前まで誰が何を見たか確認できるか。
- 退職者や異動者の権限は、当日中に失効・見直しされているか。その確認手順と担当者は決まっているか。
- 内部者による投稿や持出しが疑われたとき、通報の受付から被害者への連絡、当局への報告までの手順は用意されているか。
未解明点
- 元職員が在職中に、本来権限のない情報へ実際にアクセスした期間・件数は公表されていない。
- 権限設定の不備がいつから存在し、いつ発見されたかは公表されていない。
- 22,444名の通知方法(9名以外への個別連絡の有無)は公表されていない。
出典
- 1ScanNetSecurity2026-05-21報道本文確認済
- 2学校法人津田塾大学2026-05-08公式本文確認済