福岡大学の就活対策サイト「SMART SPI」委託先ノストラムへのランサムウェア攻撃（学生最大33,668人分）
公表日
福岡大学が就職試験対策サイト「SMART SPI」の運営を任せていた会社ノストラムがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃を受け、学生の情報が最大33,668人分漏えいした可能性があると公表した。
対象者は？
2023〜26年度（令和5〜8年度）に福岡大学に在籍した学生（医学部医学科を除く）。公表された情報は、学籍番号・生年月日（最大33,668人分）、氏名（登録した人のみ、最大800人分）、模擬試験などの受験結果（最大33,668人分）。住所やパスワードなどが含まれるかは、提供された情報には書かれていません。
個別の確認方法はまだ発表されていません。福岡大学からの案内を確認してください。
いますぐできること
- 福岡大学からの案内が出ていないか確認する。
- 学籍番号や生年月日を使って本人確認を求める不審なメールや電話、SMSに注意し、心当たりがなければ応じない。
- SMART SPIなどで使った情報と同じものを他のサービスで使っている場合は、念のため見直す。
何が起きたのか
2026年4月19日、福岡大学が就職試験対策に使っていた「SMART SPI」の運営会社ノストラムのサーバーが止まりました。ノストラムの説明では、同日午前5時ごろ、VPNを通じてランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。が入り、データが暗号化されて起動できなくなりました。ノストラムは5月8日に攻撃を公表しました。福岡大学の公表では、実際には4月17日に攻撃者が侵入しており、あとから入り直すための裏口も作られていました。福岡大学は7月9日、学生情報が漏れた可能性があると発表しました。攻撃者のサイトにはデータを公開する旨の告知があったと報じられています。
なぜ起きたのか・なぜ広がったのか
福岡大学の学生の情報が、運営を任せたノストラムのサーバーに保存されていたことが背景にあります。侵入口についてはVPN経由とされていますが、機器の種類や詳しい手口はまだ発表されていません。
いまの状況2026-07-27 時点続報待ち
2026年7月27日時点の情報です。盗まれたという直接の証拠は確認されておらず、盗まれた可能性は完全には否定できないとされています。データが外部で公開された事実は、報道時点では確認されていません。ノストラムは警察と個人情報保護委員会に報告し、リークサイトの監視を依頼し、別の新しい環境でシステムを作り直していると説明しています。福岡大学は「多大なご迷惑をおかけして深くおわび申し上げる」としています。補償や再発防止策の詳細はまだ発表されていません。
企業として考えたいこと
自社の顧客や従業員の情報を預けている委託先は、どこにどんな項目を保管していて、被害が起きたら何日以内に知らせてもらえますか。
技術的な要約
福岡大学が就職活動の筆記試験対策として学生に利用させていた「SMART SPI」の運営委託先、株式会社ノストラムのサーバーが2026年4月にランサムウェア攻撃を受けた。ノストラムは5月8日に攻撃を公表し、福岡大学は7月9日に学生情報が漏えいした可能性があると公表した。対象は2023〜26年度在籍の学生（医学部医学科を除く）で、学籍番号・生年月日と模擬試験等の受験結果が最大33,668人分、氏名が最大800人分である。情報窃取の直接的な証拠は確認されておらず、データが外部で公開された事実も報道時点では確認されていないが、攻撃者のサイトにはデータを公開する旨の告知があった。
公開情報が限られている点について
攻撃の分類
- 侵入口
- VPN/境界機器公表で確認ノストラムの説明では、2026年4月19日午前5時ごろ、VPN経由で同社ネットワークにランサムウェアが侵入した。福岡大学の公表では、4月17日の時点で外部の攻撃者が侵入していたとされる。VPN機器の製品名や侵入手口の詳細は、提供された情報にはない。
- 脆弱性
- CVE 非公表不明ノストラムは「脆弱性への対処を完了」したと説明しているが、製品名・CVEは提供された情報に記載がない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり ノストラムのサーバー内データが暗号化されてサーバーが起動不能となり、同社の学習支援サービスが停止した。
- データ
- おそれ上限 33,668確定 —人生年月日氏名その他2023〜26年度（令和5〜8年度）に在籍した学生（医学部医学科を除く）が対象。学籍番号・生年月日が最大33,668人分、氏名（登録者のみ）が最大800人分、模擬試験等の受験結果が最大33,668人分。情報窃取の直接的な証拠は確認されておらず、窃取の可能性は完全には否定できないとされる。現時点で漏えいや悪用は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 福岡大学が運営を委託していたノストラムのサーバーが侵害され、同大学の学生情報が漏えいした可能性が生じた。
時系列
- 2026-04-17
- 2026-04-19 05:00
- 2026-04-19
- 2026-05-08
- 2026-05-08ノストラムは警察と個人情報保護委員会への報告を済ませ、外部専門業者にリークサイトの監視を依頼、調査・復旧と脆弱性対処を完了し、別の新環境でシステムを再構築していると説明した。3
- 2026-05-21ScanNetSecurityが「ノストラムにランサムウェア攻撃、学習支援サービスも停止」を掲載した。4
- 2026-07-09
- 2026-07-13共同通信が、学生最大33,668人分の情報が漏えいした可能性があると報じた。福岡大学は「多大なご迷惑をおかけして深くおわび申し上げる」とした。1
- 2026-07-27
技術解説
公表された事案の経過 事実
福岡大学は2026年7月9日、就職活動の筆記試験対策として学生に利用させている「SMART SPI」の運営を委託する株式会社ノストラムのサーバーが不正アクセスを受け、学生の個人情報が外部に漏えいした可能性があると公表した。ノストラムは5月8日に、自社サーバーがランサムウェア攻撃を受け学習支援サービスが停止したと公表していた。ノストラムの説明では、4月19日午前5時ごろ、VPN経由で同社ネットワークにランサムウェアが侵入し、サーバー内のデータが暗号化されて起動不能となった。福岡大学の公表では、4月17日の時点で外部の攻撃者が侵入しており、再侵入用のバックドアが構築されていたことが新たに判明したとされる。
対象範囲と「最大」の数字 事実
漏えいの可能性がある情報は、令和5年度〜令和8年度に在籍した福岡大学の学生（医学部医学科を除く）のものである。学籍番号・生年月日が最大33,668人分、氏名（登録者のみ）が最大800人分、模擬試験等の受験結果が最大33,668人分とされる。これらはいずれも「最大」であり、流出が確定した件数は示されていない。調査報告では情報窃取を示す直接的な証拠は確認されていないが、保存データが窃取された可能性は完全には否定できないとされる。外部専門業者の調査では、データが実際に外部で公開された事実は記事執筆時点で確認されていない。
報じられている対応と攻撃者側の動き 事実
ノストラムは5月8日時点で、警察および個人情報保護委員会への報告を済ませ、外部専門業者にリークサイトの監視を依頼し、セキュリティ専門業者による調査・復旧と脆弱性への対処を完了し、感染環境とは別の新しい環境でシステムを再構築していると説明していた。福岡大学とノストラムは、外部からのアクセスを遮断したうえで安全な運用環境を構築し、外部専門業者による調査を実施し、文部科学省と個人情報保護委員会へ報告したとしている。委託先企業は警察に被害届を出した。一方、攻撃者のサイト上には、窃取したデータを公開する旨の告知があったと報じられている。福岡大学は「多大なご迷惑をおかけして深くおわび申し上げる」とした。
委託先経由で生じた構造と公表時期の読み方 解釈
学生の情報が大学の外にある委託先のサーバーに置かれ、その委託先のネットワークがVPN経由で侵害された点で、委託先経由の波及型事案と整理できる。侵入日は福岡大学の公表では4月17日、ノストラムの説明ではランサムウェア侵入が4月19日とされ、日付に差がある。これは観点や調査段階の違いによる可能性があるが、公表情報だけでは断定できない。また、委託先の公表（5月8日）から大学の公表（7月9日）まで約2か月あり、影響範囲の特定に時間を要したと考えられるものの、理由は示されていない。同志社大学の筆記試験対策ポータルでも8月19日にランサムウェア被害が公表されたが、本件との関係は提供された情報からは分からない。
対応
- 封じ込め
- 福岡大学とノストラムは外部からのアクセスを遮断したうえで安全な運用環境を構築し、外部専門業者による調査を実施した。ノストラムはセキュリティ専門業者による調査・復旧と脆弱性への対処を完了し、感染環境とは別の新しい環境でシステムを再構築していると説明した。外部専門業者にリークサイトの監視も依頼した。委託先企業は警察に被害届を出した。
- 公表の仕方
- ノストラムが2026年5月8日にランサムウェア攻撃を公表し、福岡大学が7月9日に学生情報漏えいの可能性を公表した。福岡大学は「多大なご迷惑をおかけして深くおわび申し上げる」とした。
- 当局対応
- 警察
- 個人情報保護委員会
- 文部科学省
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先のサーバーに学生・顧客の情報が置かれると、自組織の対策だけでは守れない。 | 委託先ごとに保管データの項目・件数・保管場所を台帳化し、不要な項目（生年月日、学籍番号など）は預けない設計にする。契約時にデータ最小化と保管期間・削除条件を明記する。 |
| VPN経由の侵入では、ネットワーク内部で暗号化やバックドア設置まで進みうる。 | VPNは多要素認証を必須にし、ファームウェアを定期更新する。VPN接続元の地理・時間帯の異常を検知するログアラートを設定し、接続後に到達できるセグメントを最小限に絞る。 |
| バックドアが構築されていた可能性があり、復旧だけでは再侵入を防げない場合がある。 | 復旧時は感染環境を再利用せず新環境で再構築し、資格情報・鍵・トークンを全面的に更新する。EDRとネットワークログで未知の常駐・外向き通信がないか確認してから運用を再開する。 |
| 窃取の直接証拠がなくても、攻撃者のリークサイトに告知が出ることがある。 | 外部専門業者などによるリークサイト・ダークウェブの監視を契約に含め、検知時の連絡経路と、委託元・委託先・当局への通知手順をあらかじめ文書化して演習する。 |
| 委託先の公表と委託元の公表の間に時間差が生じると、利用者への周知が遅れる。 | 委託契約にインシデント発生時の通知期限と通知内容（侵入日、対象データ、件数の上限）を定め、委託元側で影響範囲を確認できるよう、委託先のログ保全と提供を義務づける。 |
自組織などでの確認項目
- 自組織が外部サービスや委託先に預けている個人情報の項目と件数を、一覧で説明できますか。生年月日や学籍番号のような識別子まで把握できていますか。
- 委託先でランサムウェア被害が起きたとき、委託先から自組織へ何日以内に何の情報が届くと契約・運用で決まっていますか。
- 自組織のVPNや外部公開の入口は、多要素認証・更新状況・接続ログの監視が確認できる状態ですか。復旧後に再侵入の有無を確かめる手順はありますか。
未解明点
- VPN機器の製品名、悪用された脆弱性や認証情報の有無など、侵入手口の詳細は提供された情報にない。
- 4月17日の侵入と4月19日のランサムウェア侵入の関係、および攻撃者の名称は公表されていない。
- 漏えいが確定した件数や、攻撃者サイトの告知に実際のデータが含まれていたかは示されていない。
- 対象となった学生への個別通知の方法や、補償・問い合わせ窓口の有無は提供された情報にない。
- 同志社大学の筆記試験対策ポータルの事案と本件の関係（同一の委託先か否か）は不明である。
出典
- 1熊本日日新聞社（共同通信配信）2026-07-13報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-20報道本文確認済
- 3セキュリティ対策Lab(合同会社ロケットボーイズ)2026-07-10報道本文確認済
- 4ScanNetSecurity2026-05-21報道本文確認済
- 5ScanNetSecurity2026-07-27報道本文確認済
- 6エキサイトニュース（ScanNetSecurity 提供）2026-07-27報道本文確認済