神奈川大学のサーバーへの不正アクセス（認証基盤侵入・MNSアカウント情報漏洩のおそれ）
公表日
神奈川大学のサーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、MNSアカウントの氏名やパスワードなどの個人情報が外部へ漏洩した可能性があることが判明しました。
対象者は？
神奈川大学のMNSアカウント利用者（漏洩の可能性がある項目は氏名、ID、パスワード、メールアドレス。なお、jindai.jpのパスワードは漏洩していません。対象件数は非公表です）。
大学からの公式案内を確認してください。個別の確認方法についてはまだ発表されていません。
いますぐできること
- 大学の案内に従い、学内ネットワークへ接続してMNSアカウントのパスワード変更手続きを行ってください。
- 他のウェブサービスでMNSアカウントと同じパスワードを使い回している場合は、速やかに別のパスワードへ変更してください。
何が起きたのか
2026年10月25日の認証基盤システムの通信記録を監査したところ、学内サーバーに不正侵入された形跡が見つかりました。大学は安全確保のため該当サーバーの学外通信を遮断し、外部からのMNSメール送受信やVPN接続、シングルサインオンを利用するサービスの接続を停止しました。
なぜ起きたのか・なぜ広がったのか
サーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受けた原因や具体的な侵入経路については、まだ発表されていません。認証基盤システムに侵入された形跡があったため、関連するアカウント情報が漏洩した可能性があります。
いまの状況2026-11-09 時点続報待ち
2026年11月9日時点で、該当サーバーの学外通信を遮断し、外部からのメール送受信やVPNなどの接続を停止しています。大学は11月中に認証基盤システムの更新とパスワード一斉変更の実施を予定しています。
企業として考えたいこと
社内の認証基盤やアカウント管理サーバーが侵害された場合、外部からの通信を安全に遮断しつつ業務への影響を抑える体制や、全社員のパスワードを一括リセットする手順は整っていますか。
技術的な要約
神奈川大学は2026年11月9日、学内サーバーに対する不正アクセスにより個人情報が外部に漏洩した可能性があると公表した。10月25日の認証基盤システムの通信記録を監査したところ、不正な侵入の形跡が確認された。漏洩した可能性があるのはMNSアカウントの氏名、ID、パスワード、メールアドレスであり、jindai.jpのパスワードは含まれていない。大学は該当サーバーに対する学外との通信を遮断し、外部からのメール送受信やVPNなどの接続を停止した。11月中に認証基盤システムの更新とパスワード一斉変更の実施を予定している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明サーバーへの不正アクセスおよび認証基盤システムの通信記録における不正侵入の形跡のみが公表されており、侵入経路の詳細は非公表。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 該当サーバーの学外通信遮断に伴い、外部ネットワークからのMNSメール送受信、VPN接続サービス、WeBSt@tion、MNS Webメール、シングルサインオン認証利用サービスが接続停止となった。また学内でも教員向けの出席管理システム利用画面が停止した（学生証かざしによる出席管理自体は稼働）。
- データ
- おそれ上限 —確定 —アカウント氏名会員IDメールその他対象件数は非公表。漏洩の可能性がある項目はMNSアカウントの氏名、ID、パスワード、メールアドレス。jindai.jpのパスワードは漏洩していない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
不正アクセスの検知と影響を受けた情報およびシステム 事実
神奈川大学の公表によると、2026年10月25日の認証基盤システムの通信記録を監査した際に不正侵入の形跡が確認された。この不正アクセスに伴い、MNSアカウントの氏名、ID、パスワード、メールアドレスが外部に漏洩した可能性がある。一方で、jindai.jpのパスワードは漏洩していないことが確認されている。漏洩対象となったアカウントの具体的な件数は公表されていない。大学側は対応として該当サーバーの学外との通信を遮断し、外部からのMNSメール送受信、VPN接続サービス、WeBSt@tion、MNS Webメール、シングルサインオン認証を利用する各種サービスの接続を停止した。また学内においても教員向けの出席管理システム利用画面が停止するなどの業務影響が生じている。
認証基盤侵害による影響範囲の局所化と学外遮断の判断 解釈
認証基盤システムが侵害された場合、シングルサインオン等を通じて連携する学内・学外の多岐にわたるシステムへ攻撃者が横展開するリスクが極めて高い。神奈川大学の対応では、該当サーバーの学外通信を速やかに遮断し、シングルサインオン連携サービスやVPN接続、MNSメール送受信を停止することで、不正アクセス元の侵入経路や攻撃者による更なる不正利用の拡大を防止している。一方で、クラウドサービスとみられるJINDAIメールやBox、WebClassについては外部からの利用を継続可能としており、教育・研究活動への影響を最低限に抑える切り分けが行われたと考えられる。ただし、パスワードの変更作業すら学内ネットワークからしか行えない状態となっており、利用者の利便性とセキュリティ確保のトレードオフが顕著に表れた遮断対応といえる。
認証情報漏洩の疑いに対する一斉リセットと更新計画 解釈
本事案ではMNSアカウントのIDとパスワード自体が漏洩した可能性があるため、個別の注意喚起だけでは不正ログインを防ぎきれない危険性がある。大学側が11月中に予定しているシステム更新の前に、すでに変更した利用者も含めてパスワードの一斉変更を強制する方針をとったことは、侵害された認証情報を無効化し、攻撃者の再侵入やセッション維持を断ち切る観点から合理的である。公表情報では初期侵入経路や脆弱性の有無、監査に至る具体的な経緯は示されていないが、認証基盤システムの更新が予定されていることから、システム自体の設定不備やソフトウェアの脆弱性、あるいは運用設計上の問題に対処するための抜本的な改修が行われる過程であると推察される。
対応
- 封じ込め
- 該当サーバーに対する学外との通信を遮断。学外からの認証基盤システムへの接続を停止し、MNSメール送受信、VPN接続、WeBSt@tion、シングルサインオン認証利用サービスの学外アクセスを遮断した。
- 公表の仕方
- 2026年11月9日にウェブサイト上で「個人情報漏洩に関するお詫びとお知らせ」を公表。漏洩の可能性がある情報項目や接続停止中のシステム、今後のシステム更新・パスワード変更予定を案内した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 認証基盤やディレクトリサービスの通信ログを定期的に監査する体制の確立 | SIEM等のログ統合監視基盤を導入し、認証基盤への特権アクセスや異常な時間帯・通信元からのアクセス、通常と異なる認証試行ログを定期的に監査・検知するアラートを設定する。 |
| 認証基盤侵害時における広域影響の最小化とアクセス制御の迅速な分離 | 認証連携する各サブシステムへの通信制御やAPI認可をネットワーク分離やアクセス制御ポリシーで即座に制限できるよう、インシデント発生時のネットワーク遮断手順および代替接続経路を事前に策定しておく。 |
| アカウント漏洩疑い時の全件パスワード強制リセット機能と手順の準備 | 認証情報の大規模流出に備え、管理者側から全ユーザーまたは特定グループのパスワードを一括で無効化し、次回ログイン時や指定されたセキュアな経路からの再設定を強制できる仕組みをシステムに組み込んでおく。 |
| 境界防御依存から脱却した多要素認証（MFA）の導入 | IDとパスワードの組み合わせのみに依存した認証方式を改め、学外からのアクセスやVPN、シングルサインオン連携サービスに対してFIDO2やTOTP等による多要素認証（MFA）を必須化する。 |
自組織などでの確認項目
- 自組織の認証基盤（Active Directory、IdP、LDAP等）のアクセスログや通信記録は定期的に監査され、不正アクセスの兆候を検知できる状態にあるか。
- 万が一認証基盤が侵害された場合、連携している業務システムや外部ネットワーク接続を即座に部分停止または遮断できる手順が整備されているか。
- ユーザーの認証情報が大規模に漏洩した疑いが生じた際、全ユーザーに対するパスワード一括無効化やリセットを安全かつ迅速に実施できる運用手順があるか。
未解明点
- 攻撃者が認証基盤システムに侵入した具体的な手口（公開サーバーの脆弱性悪用、既存アカウントの不正利用、フィッシングなど）や侵入口は何だったのか。
- 漏洩の可能性があるMNSアカウントの具体的な対象人数・アカウント件数はどれほどか。
出典
- 1神奈川大学2026-11-09公式本文確認済