Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2026-saga-u教育最終確認 2026-10-13 10:00

佐賀大学の事務部門NASへのランサムウェア攻撃（ファイル暗号化、事務用端末を約66時間停止、学内ID・パスワード流出のおそれを報道）

公表日

国立大学法人佐賀大学
調査中ランサムウェア

佐賀大学の事務部門のファイル保存装置（NAS）がランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の被害を受け、ファイルが暗号化されました。事務用のパソコンは約66時間使えなくなり、報道によると教職員・学生の学内システム用のIDとパスワードが流出した可能性もあります。

対象者は？

報道によると、佐賀大学の教職員と学生の、学内システムにログインするためのIDとパスワードが流出した可能性があると、大学が9月28日の会見で説明しました（使われた形跡は確認されていません）。この点は大学の公式のお知らせには書かれておらず、対象の人数やどのシステムのIDかも公表されていません。教育・研究・診療のシステムへの影響は確認されていないとされています。

大学の公式のお知らせでは、個人ごとの確認方法は案内されていません。報道によると、大学は全教職員・学生のパスワード変更を進める考えです。

事務情報システムにおけるランサムウェア被害の発生について（第2報） ↗同（第1報） ↗

いますぐできること

  • 佐賀大学の教職員・学生は、大学からの案内に従って学内システムのパスワードを変更する。同じパスワードを他のサービスでも使っていれば、そちらも変更する
  • 大学を名乗って、IDやパスワードの入力を求めるメールやページには入力しない

何が起きたのか

2026年9月24日の朝、佐賀大学の事務部門から、部門のNAS（ファイルを保存する装置）の中のファイルが暗号化されていると連絡がありました。大学はランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の被害を疑い、そのNASをネットワークから切り離しました。同じ日の夕方には事務用のパソコンの利用を止め、翌25日には学外から学内につなぐVPNも一時的に止めました。9月27日に事務用のパソコンの利用を再開し、28日に通常の業務に戻りました。

なぜ起きたのか・なぜ広がったのか

どこから、どのように侵入されたかは、まだ公表されていません。大学は、学内の専門チーム（CSIRT）が感染の経路と被害の範囲を調べているとしています。ファイルの暗号化だけでなく、全員のIDとパスワードに関わる問題になった理由も説明されていません。

いまの状況2026-09-28 時点続報待ち

事務の業務は2026年9月28日に再開し、大学は警察にも相談しています。侵入の経路、攻撃者、ファイルや情報が持ち出されたかどうかは、まだ発表されていません。

企業として考えたいこと

部署ごとに買ったファイル保存装置（NAS）やパソコンは、会社全体の管理や監視の対象に入っているでしょうか。

技術的な要約

2026年9月24日8時42分、佐賀大学の事務部門から、同部門所有のNAS内ファイルが暗号化されているとの連絡があり、大学はランサムウェア被害を疑ってNASをネットワークから隔離した。同日16時45分に感染拡大防止のため事務用端末の利用を停止し、翌25日には学外向け事務用VPNと研究用VPNも臨時停止した（障害情報の掲載を報道が確認）。感染が疑われたサーバを復旧したうえで9月27日11時3分に事務用端末の利用を再開し、9月28日に通常業務を再開した。公式発表は教育・研究・診療系システムへの影響は確認されていないとし、警察にも相談している。9月28日の学内会見では教職員・学生の学内システム用IDとパスワードが流出した可能性が報じられたが（使用の形跡は確認されず）、大学の公式リリースには記載がなく、侵入経路・攻撃者・データ持ち出しの有無は2026-10-10時点で未公表。

公開情報が限られている点について
大学の公式発表は2報のみで、侵入経路・攻撃者・暗号化範囲・データ持ち出しの有無が未公表のため、mitre_attack は公表事実から確実に対応づけられる T1486 の1件にとどめた（Aの最低量2件に不足）。認証情報流出のおそれは9/28の学内会見についての報道に基づくが、読売新聞・佐賀新聞・西日本新聞・ITmedia の本文はWebFetchで取得できず（robots拒否）、見出しと二次記事（isotop）での確認にとどまる。総合情報基盤センターのVPN臨時停止の告知本文も取得できず、時刻はセキュリティ対策Labの記事による。
侵入
—
被害発生
—
検知
2026-09-24 08:42
第1報公表
2026-09-25
最新続報
2026-09-28
侵入 → 検知
—
侵入日が非公表
検知 → 公表
1日
データ（上限）
—
確定 —
波及先
—

攻撃の分類

侵入口
不明
公式発表は『CSIRTを中心に感染経路及び被害範囲について調査中』（9/25第1報）、『引き続き感染経路及び被害範囲の詳細な調査』（9/28第2報）とし、侵入経路は未公表。9/25に学外向け事務用VPNと研究用VPNが『学内業務システムの障害に伴い』臨時停止されたことが報道で確認されているが（総合情報基盤センターの障害情報。本文は取得できず）、VPNが侵入経路であると大学が述べた事実はない。研究用VPNは9/11告知の予定どおり9/30にSSLサーバ証明書更新とバージョンアップ、利用方法の変更が行われる計画で、これも事案との関係は示されていない。
脆弱性
CVE 非公表不明
悪用された脆弱性・製品（NASの機種、VPN機器、端末OS等）はいずれも非公表。NAS自体が直接攻撃されたのか、端末やサーバ経由で共有フォルダが暗号化されたのかも不明（公式は『感染が疑われるサーバの復旧』『関連端末の調査・回収』と記載）。
攻撃者
特定・主張なし
ATT&CK
T1486 Data Encrypted for Impact

影響

業務停止
あり 事務部門NASのファイルが暗号化。9/24 16:45に事務用端末の利用を全学的に停止（報道では約500台）し、9/25に学外向け事務用VPNと研究用VPNを臨時停止。事務用端末は9/27 11:03に利用再開、9/28（月）に通常業務を再開。教育・研究・診療業務に関係するシステムへの影響は確認されていないと公式発表。
期間：事務用端末停止は2026-09-24 16:45〜09-27 11:03（約66時間。公表時刻からの計算）、通常業務再開は09-28（検知から4日）
データ
おそれ上限 —確定 —
その他（学内システムのログインID・パスワード／報道ベース）
公式リリース（9/25、9/28）は暗号化被害のみを記載し、情報漏えいには言及していない。9/28の学内記者会見について、読売新聞は教職員・学生の学内システムへのログイン用IDとパスワードが流出した可能性、佐賀新聞は『ユーザー認証情報流出の恐れ』『使用は確認されず』と報じた（いずれも本文は取得できず、見出しと二次記事で確認）。対象人数、パスワードの保存形式（平文かハッシュか）、NAS内ファイル（業務データ・個人情報）の持ち出し有無は非公表。学長は全教職員・学生のパスワード変更と認証管理強化の意向を示したと報じられている。
波及先
—
金銭影響
—
サプライチェーン
大学自身の事務部門NASでの被害。公式発表は復旧・調査を『関係事業者』と連携して進めるとしているが、委託先経由の侵入や他組織への波及は公表されていない。

時系列

  1. 2026-09-24 08:42
    事務部門から、同部門所有のNAS内のファイルが暗号化されているとの連絡。ランサムウェア被害が疑われると判断12
  2. 2026-09-24
    当該NASを直ちにネットワークから隔離。CSIRTが初動対応を開始し、関係部署へのヒアリング、関連端末の調査・回収を実施12
  3. 2026-09-24 16:45
    感染拡大防止のため事務用端末の利用を停止（検知から約8時間後）26
  4. 2026-09-25
    公式第1報『事務情報システムにおけるランサムウェア被害の発生について』を公表。教育・研究・診療系システムへの影響は確認されていないと説明1
  5. 2026-09-25 10:17
    総合情報基盤センターが研究用VPNサービスの臨時停止を障害情報として掲載（同日12:23に学外向け事務用VPNの臨時停止も掲載）。理由は『学内業務システムの障害に伴い』348
  6. 2026-09-27 11:03
    感染が疑われたサーバの復旧を経て、事務用端末の利用を再開26
  7. 2026-09-28
    通常業務を再開し、公式第2報を公表（警察へ相談済みと記載）。同日の学内会見で学内システム用ID・パスワード流出の可能性が報じられる（使用の形跡は確認されず）2691011
  8. 2026-09-30 13:00
    研究用VPN機器のSSLサーバ証明書更新・バージョンアップと利用方法変更の作業（9/11告知済みの計画作業。事案との関係は示されていない）5
  9. 2026-10-01
    Security NEXTが『事務用NASがランサム被害、通常業務は再開』と報道。以後10/10まで大学の続報なし7

技術解説

初動の時系列：検知から端末全停止まで8時間、VPN停止は翌日 事実

公式発表によると、9月24日8時42分に事務部門からNASのファイル暗号化の連絡があり、当該NASは直ちに隔離された。一方、事務用端末の全面的な利用停止は同日16時45分で、検知から約8時間後である。さらに学外向け事務用VPNと研究用VPNの臨時停止が総合情報基盤センターの障害情報に掲載されたのは翌25日の10時17分（研究用）と12時23分（事務用）だった。事務用端末は9月27日11時3分に再開、9月28日に通常業務に戻り、端末停止は約66時間、検知から通常業務再開まで4日である。公式は『感染が疑われるサーバ』を復旧したと記しており、被害はNAS単体ではなくサーバにも及んでいたことが読み取れる。感染経路・暗号化された範囲・ファイル数は公表されていない。

公式発表と会見報道のずれ：認証情報流出の『おそれ』 事実

大学の公式リリースは9月25日と28日の2報で、いずれも暗号化被害と業務への影響、教育・研究・診療系への影響がないことのみを記し、情報漏えいには触れていない。ところが9月28日の学内記者会見について、読売新聞は教職員・学生の学内システムへのログイン用IDとパスワードが流出した可能性を、佐賀新聞は『ユーザー認証情報流出の恐れ』と『使用は確認されず』を報じた。学長は全教職員・学生のパスワード変更と認証管理強化の意向を示したと伝えられる。つまり利用者が取るべき行動（パスワード変更）に直結する情報が、10月10日時点でも大学のWebリリースには書かれていない。対象人数、パスワードの保存形式、どのシステムの認証情報かも未公表である。

NASの暗号化がなぜ全学の認証情報の問題になるのか（推測） 解釈

部門NASのファイル暗号化だけなら被害はその部門のデータに留まるはずだが、全教職員・学生のパスワード変更が検討されたことは、攻撃者がより上位の権限に達していた可能性を示唆する。考えられる経路は、(1)侵害された端末やサーバ上で資格情報ダンプ（LSASS等）が行われ、Active Directory等の学内統合認証の情報に触れた、(2)NAS自体やNAS上のファイルに学内システムのアカウント台帳・パスワード一覧が置かれていた、(3)VPNの認証基盤（学内統合認証と連携）が侵害された、などである。9/25のVPN停止は、大学がリモートアクセス経路を少なくとも疑ったことを示すが、断定はできない。いずれも推測であり、大学はどの経路も公表していない。

大学という環境の構造的な弱さ（解釈） 解釈

大学は事務・研究・診療（附属病院）が同居し、学生・教職員・外部研究者が学外からVPNで接続する。研究用VPNと事務用VPNを分けている点は評価できるが、統合認証が共通であれば一方の認証情報流出は他方に波及しうる。部門ごとに調達されるNASは中央の情報基盤センターの監視が及びにくく、管理画面やファームウェアの更新が担当者任せになりやすい。今回、教育・研究・診療系への影響が確認されなかったのは不幸中の幸いだが、それが分離設計によるものか、攻撃者の到達範囲が限られていただけかは公表情報からは判断できない。報道が『国立大にまた』と表現したように、大学は国内ランサムウェア被害の定常的な標的になっており、部門資産の棚卸しと認証の分離が問われる。

対応

封じ込め
9/24 8:42の連絡後に当該NASをネットワークから隔離、CSIRTが初動対応（ヒアリング、関連端末の調査・回収）。同日16:45に事務用端末の利用を停止、9/25に学外向け事務用VPNと研究用VPNを臨時停止。感染が疑われたサーバを復旧し、9/27 11:03に事務用端末再開、9/28に通常業務再開。報道によれば全教職員・学生のパスワード変更と認証管理強化を予定。
公表の仕方
検知翌日の9/25に第1報、9/28に第2報（復旧状況と警察相談）を大学広報ページで公表。認証情報流出のおそれは公式リリースに記載がなく、9/28の学内会見で説明されたと報道された。侵入経路・攻撃者・身代金要求・データ持ち出しの有無は未公表。
当局対応
  • 警察：相談済み（9/28第2報）
  • 個人情報保護委員会・文部科学省への報告の有無は公表されていない

教訓と対策

教訓具体的な対策
部門所有のNASが中央の監視・パッチ管理の外にあった可能性部門調達のNAS・共有ストレージを含む全資産を情報基盤部門の台帳に登録し、管理画面（HTTP/HTTPS・SSH・QuickConnect等のクラウド中継機能）をインターネットから到達不能にする。ファームウェアの自動更新を有効化し、スナップショットを読み取り専用（WORM/イミュータブル）で保持して暗号化後も数時間以内に巻き戻せるようにする
暗号化の検知から全端末停止まで約8時間、VPN停止は翌日だったランサムウェア疑い時の『即時遮断』判断基準（例：共有ストレージで拡張子一括変更・脅迫文ファイル生成を検知したら、CSIRT責任者の判断でVPN・部門セグメントを即時遮断）と権限者を事前に定め、EDR/ネットワーク機器から一括隔離できる手順を机上演習で確認しておく
部門NASの被害が全教職員・学生のパスワード変更に波及した学内統合認証（AD/LDAP/IdP）のTier 0資産を部門サーバと分離し、ドメイン管理者の端末ログオンを禁止。VPNとWebサービスはMFA必須にし、パスワードだけで学外から入れる経路をなくす。資格情報をファイル（Excel台帳等）で共有フォルダに置くことを禁止し、定期スキャンで検出する
利用者に行動を求める情報（認証情報流出のおそれ）がWebの公式リリースに書かれていない会見で述べた事項は同日中に公式ページへ反映する運用とし、『誰が』『何を』（例：全学生・教職員が○日までにパスワード変更）を明記した利用者向け告知を広報リリースとは別に出す
学外からのVPN接続が事務系・研究系とも認証基盤を共有している可能性事務用VPNと研究用VPNで認証ドメイン・接続先セグメントを分け、VPN機器のログ（認証成功の国・ASN、同一アカウントの同時接続）をSIEMに集約して異常を検知する。VPN機器は脆弱性公表から72時間以内の更新をSLAにする

自組織などでの確認項目

  1. あなたの組織で、部門が独自に購入したNASや共有ストレージは何台あり、誰がファームウェア更新と管理画面の公開状況を確認しているか。
  2. 共有フォルダのファイル暗号化を検知したとき、VPNを含む全社の遮断を誰が何分以内に決められるか。佐賀大学の『端末停止まで8時間、VPN停止は翌日』と比べてどうか。
  3. 一部門のファイルサーバが侵害された場合に、全社員のパスワードを変えなければならなくなる構造（認証情報の共有フォルダ保存、ドメイン管理者の多用など）が自社に残っていないか。
  4. 会見では話したが公式ページには書いていない、という状態を防ぐには、インシデント時の広報とCSIRTの情報連携をどう設計すべきか。

未解明点

  • 侵入経路（VPN機器、NAS管理画面、フィッシング等）と悪用された製品・脆弱性
  • 流出したおそれのある認証情報の範囲（対象人数、対象システム、パスワードの保存形式）と、その判断根拠
  • NAS・サーバ内の業務データや個人情報の持ち出しの有無、身代金要求（脅迫文）の有無と攻撃グループ
  • 暗号化の開始時刻（夜間・休日の発生か）と侵入から暗号化までの滞留期間
  • 9/25のVPN臨時停止の理由と、9/30の研究用VPN利用方法変更が事案と関係するか
  • 個人情報保護委員会・文部科学省への報告状況と最終報告の公表予定

出典

  1. 1
  2. 2
  3. 3
    学外向けの事務用VPNサービスの臨時停止について
    佐賀大学 総合情報基盤センター2026-09-25公式未確認
  4. 4
    研究用VPNサービスの臨時停止について
    佐賀大学 総合情報基盤センター2026-09-25公式未確認
  5. 5
    研究用VPN サービスの保守作業と利用方法の変更について
    佐賀大学 総合情報基盤センター2026-09-11公式本文確認済
  6. 6
  7. 7
  8. 8
  9. 9
    佐賀大学でランサムウェア被害、IDとパスワードが流出した可能性
    久兵衛の暮らしのニュース2026-09-29報道本文確認済
  10. 10
  11. 11
  12. 12
  13. 13
  14. 14