慶應義塾 SFC-CNSメールサービスへの不正アクセス（認証情報等 最大6,447件が漏えいの可能性）
公表日
慶應義塾の湘南藤沢キャンパス（SFC）のメールサービスに外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、利用者のメールアドレスやパスワード等が漏れた可能性が高いと2025年12月26日に公表されました。メールアドレス等の情報6,447件で漏えいがほぼ確実とされ、ほかに卒業生1,025件のメールアドレスも対象です。
対象者は？
現在SFC-CNSを使っている学生・教員・職員・その他、2025年9月卒業生、2025年8月28日以降にアカウントを停止した人の計6,447件が、漏えいがほぼ確実とされています。メールアドレス、ログイン用パスワードのハッシュ、メール用パスワード（平文）、Wi-Fi用パスワード（可逆暗号化）、氏名、学籍番号または教職員番号、転送先メールアドレス等が含まれます。別に2025年3月卒業生1,025件はメールアドレスのみで、氏名やパスワードは含まれません。
慶應義塾の公式お知らせで、自分が当てはまる区分を確認してください。個別の連絡があるかどうかは、確認した情報の中にはまだ発表されていません。
いますぐできること
- 他のサービスで、SFC-CNSと同じパスワードを使っている場合は、直ちに別のパスワードへ変更する。
- 心当たりのないメールのリンクを開いたり、パスワードを入力したりしない。フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールやスパムメールが送られてくる可能性があると、公式が注意している。
- 公式お知らせを読み、自分が対象の区分に当てはまるかを確認する。
何が起きたのか
2025年11月26日、湘南藤沢キャンパスのメールシステムの中で、迷惑メールを隔離するサーバーから不審な通信が出ていることが分かりました。同じ日のうちに侵入経路をふさぎ、機器のメーカーであるシスコシステムズ合同会社に情報を提供しました。12月18日に、この機器のソフトウェアにあった未知の弱点を使われた可能性が高いと分かりました。12月22日には、このサーバーが参照していたアカウント情報のサーバーから、個人情報を含むデータが外部に漏れた可能性があると分かりました。12月23日にメール用パスワード、12月25日にログイン用パスワードを全アカウント分リセットし、12月26日に公表しました。
なぜ起きたのか・なぜ広がったのか
公式発表では、機器上のソフトウェアの未知の弱点を使われた可能性が高いとされています。広がった理由としては、このサーバーが参照していたアカウント情報のサーバーにも個人情報を含むデータがあり、そこから漏れた可能性が判明したことが示されています。最初に侵入された日や攻撃者については、まだ発表されていません。
いまの状況2026-10-14 時点続報待ち
慶應義塾は、現時点では漏れた可能性があるパスワード等を使った二次被害は確認されていないとしています。監督官庁・関係機関と警察にも報告済みです。迷惑メールを隔離するサーバー上の情報は、転送されたデータ量から、大量に流出した可能性は低いと判断しているとのことです。実際に外部へ持ち出されたと確認できた件数や、調査の最終結果、再発防止策については、まだ発表されていません。
企業として考えたいこと
あなたの会社で、メールを守るための機器や、アカウント情報を管理するサーバーに弱点が見つかったとき、そこから見られる情報の範囲と、全員のパスワードを1日で変える手順を、すぐに説明できますか。
技術的な要約
2025年11月26日、慶應義塾の湘南藤沢キャンパスのメールシステムにあるスパムメール隔離サーバーから不審な通信が発生していることが判明し、同日中に侵入経路を封鎖した。12月18日に、当該機器上のソフトウェアの未知の脆弱性（ゼロデイ攻撃）を利用された可能性が高いことが判明し、12月22日には同サーバーが参照していたディレクトリサーバーから個人情報を含むデータが漏えいした可能性が判明した。ディレクトリサーバー上の6,447件でメールアドレス、メール用パスワード（平文）、ログイン用パスワードのハッシュ等の漏えいがほぼ確実とされ、2025年3月卒業生1,025件はメールアドレスのみが対象である。慶應義塾は12月23日にメールパスワード、12月25日にログインパスワードを強制リセットし、12月26日に公表した。現時点で二次被害は確認されていないとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 公開サーバの脆弱性公表で確認公式発表では「同機器上で動作しているソフトウェアの未知の脆弱性を利用して不正アクセスされた可能性が高い」（いわゆるゼロデイ攻撃）。対象はスパムメール隔離サーバーとして利用している機器（メーカーはシスコシステムズ合同会社）。
- 脆弱性
- CVE-2025-20393報道・研究者Cisco Secure Email Gateway / Cisco Secure Email and Web Manager（Cisco AsyncOS）報道（セキュリティ対策Lab）が、本件は当該製品を狙った攻撃キャンペーン(CVE-2025-20393)に関連している恐れがあると述べている。慶應義塾の公式発表には製品名・CVEの記載はない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし
- データ
- おそれ上限 6,447確定 —件メールハッシュ化PW平文PW氏名その他ディレクトリサーバー上で漏えいがほぼ確実とされるのは現SFC-CNS利用者（学生・教員・職員・その他）、2025年9月卒業生、2025年8月28日以降のアカウント停止ユーザーの計6,447件。内容はメールアドレス、ログイン用パスワードのハッシュ、メール用パスワード（平文）、Wi-Fi用パスワード（可逆暗号化）、漢字氏名／アルファベット氏名、学籍番号または教職員番号、転送先メールアドレス等。別に2025年3月卒業生1,025件はメールアドレスのみ（氏名・パスワード等は含まれない）。スパムメール隔離サーバー上では隔離メール最大222,508通（利用中アドレス数984）、セーフリスト／ブロックリスト最大1,613件（重複除き1,102件）が漏えいした可能性があるが、転送データ量から大量流出の可能性は低いと判断している。件数は種別が異なるため合算していない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 報道は、同じ脆弱性が原因と思われるインシデントがTOKAIコミュニケーションズでも発生していると述べている。本件の委託先経由・波及に関する公式の記載はない。
時系列
- 2025-11-26
- 2025-11-26
- 2025-12-18
- 2025-12-22
- 2025-12-23
- 2025-12-25
- 2025-12-26
- 2026-09-14 09:30KICが、sfc.keio.ac.jpのセキュリティチームを装うフィッシングメールの確認を注意喚起（第三者が認証情報の収集を試みていると考えられるとしている）。公式発表上、本件不正アクセスとの関連は記載されていない。6
技術解説
公表された経緯と対応 事実
2025年11月26日、湘南藤沢キャンパスのメールシステムのスパムメール隔離サーバーから不審な通信が発生していることが判明し、同日中に侵入経路を封鎖して、機器メーカーのシスコシステムズ合同会社へ情報を提供した。12月18日に、同機器上で動作するソフトウェアの未知の脆弱性を利用して不正アクセスされた可能性が高いこと（いわゆるゼロデイ攻撃）が判明した。12月22日には、同サーバーが参照していたディレクトリサーバーから個人情報を含むデータが外部へ漏洩した可能性が判明した。12月23日に全アカウントのメールパスワード、12月25日にログインパスワードを強制リセットし、12月26日に慶應義塾広報室が公表した。監督官庁・関係機関および警察への報告も行っており、現時点で二次被害は確認されていないとしている。
漏えいの可能性がある情報の範囲と件数 事実
ディレクトリサーバー上で漏洩がほぼ確実とされるのは、現SFC-CNS利用者（学生・教員・職員・その他）、2025年9月卒業生、2025年8月28日以降にアカウントを停止したユーザーの計6,447件である。内容はメールアドレス、ログイン用パスワードのハッシュ、メール用パスワード（平文）、Wi-Fi用パスワード（可逆暗号化）、漢字氏名・アルファベット氏名、学籍番号または教職員番号、転送先メールアドレス等とされる。別に2025年3月卒業生1,025件はメールアドレスのみで、氏名やパスワードは含まれない。スパムメール隔離サーバー上では、隔離メール最大222,508通（利用中アドレス数984）、セーフリスト／ブロックリスト最大1,613件（重複除き1,102件）が漏洩した可能性がある。ただし転送データ量から、大量に流出した可能性は低いと判断している。これらは種別が異なるため合算していない。
脆弱性・製品に関する公式発表と報道の違い 事実
慶應義塾の公式発表は、対象機器のメーカーがシスコシステムズ合同会社であること、および同機器上のソフトウェアの未知の脆弱性を利用された可能性が高いことを述べている。公式発表には、具体的な製品名やCVE番号の記載はない。一方、報道（セキュリティ対策Lab）は、本件がCisco Secure Email GatewayおよびCisco Secure Email and Web Manager（いずれもCisco AsyncOS）を狙った新たなサイバー攻撃キャンペーン（CVE-2025-20393）に関連している恐れがあると述べている。同報道は、この脆弱性が原因と思われるインシデントがTOKAIコミュニケーションズでも発生しているとも述べている。製品・CVEとの対応は報道ベースであり、本件の公式な確認とは区別して扱う必要がある。
攻撃の構造についての見方 解釈
公表された事実からは、スパムメール隔離という周辺的な役割の機器が、アカウント情報を持つディレクトリサーバーを参照していたことで、機器1台の侵害がアカウント情報の漏えいの可能性につながったと読み取れる。メール用パスワードが平文で含まれていた点は、認証情報の保管形式が影響範囲に関わった可能性を示す。ただし、この保管形式がどのような経緯で採用されていたかは公表されていない。また、侵入経路の封鎖から個人データの漏えいの可能性の判明まで約4週間あり、機器の侵害範囲を確定する調査に時間を要したと考えられる。これは公表内容からの推測であり、調査の実際の工程までは示されていない。いずれにせよ、境界に近い機器と認証基盤の関係を点検する材料になる事案といえる。
公表内容の評価 解釈
公表では、対象者の区分、件数、含まれる情報の種類が項目別に示され、2025年3月卒業生はメールアドレスのみであることも明記されている。件数が種別ごとに分けて示されているため、利用者は自分が影響を受ける範囲を判断しやすい。二次被害としてフィッシングやスパムの可能性に触れ、他サービスで同じパスワードを使っている場合の変更も呼びかけている点は、利用者の行動につながる内容である。一方で、侵入日、攻撃者、製品名・CVE、実際に外部へ出たと確認できた件数などは示されておらず、今後の続報が待たれる。調査の途中段階での公表であり、これらの未公表事項は調査の進行によるものとも考えられるため、現時点で公表の遅れや不足と断定することは適切でない。
対応
- 封じ込め
- 2025年11月26日に侵入経路を封鎖し、機器メーカーのシスコシステムズ合同会社へ情報提供。12月23日に全アカウントのメール用パスワード、12月25日にログインパスワードを強制リセットした。
- 公表の仕方
- 2025年12月26日に慶應義塾広報室が公表。漏えいの可能性があるデータの対象者・件数・内容を示し、フィッシングメール等の二次被害の可能性と、他サービスで同じパスワードを使っている場合の変更を呼びかけた。
- 当局対応
- 監督官庁・関係機関
- 警察
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| メールセキュリティ機器のようなインターネット側に近い機器は、未知の脆弱性を突かれることを前提に設計・監視する必要がある。 | 管理画面や隔離用Web UIは送信元IPで制限し、公開が必要な機能は最小限にする。ベンダーのPSIRT情報とCISA KEVなどの脆弱性情報を購読し、機器の通信ログ（外向き通信を含む）を90日以上保存して、侵害の兆候（IoC）を横断検索できるようにする。 |
| 周辺機器がディレクトリサーバーを参照する構成では、その機器が侵害されたときの到達範囲が広がる。 | 機器用のLDAPバインドアカウントを読み取り専用にし、参照できる属性（パスワード関連属性を除外）とOUを必要最小限に絞る。ディレクトリへの接続はLDAPSとし、機器の所属セグメントからの接続先を専用ホストに限定するACLを設ける。 |
| 平文や可逆暗号化でパスワードを保持していると、サーバー侵害時にそのまま悪用されうる。 | 保存方式を棚卸しし、平文・可逆暗号化の保持を廃止する。パスワードはArgon2idまたはbcryptでハッシュ化し、メールはOAuth2/SSOへ、Wi-Fiは802.1X（EAP-TLS等の証明書認証）へ移行して、共有パスワードを持たない構成にする。 |
| 漏えいの可能性が判明した時点で、全アカウントの認証情報を段階的に失効させる手順が必要になる。 | パスワード強制リセット、セッション・トークン失効、MFA再登録を一括または系統別に実行できる手順書とスクリプトを事前に整備し、年1回は訓練で所要時間を測る。リセット後のログイン失敗や不審ログインを監視する検知ルールも用意する。 |
| 漏えい規模は、外向きの転送量や記録から推定する場面があり、日頃のログ保全が判断の根拠になる。 | 機器からの外向き通信をNetFlowやプロキシ・FWログで保存し、機器単位の送信量のベースラインとアラートを設定する。インターネットへの外向き通信は許可先を限定（egress制限）し、不審な通信先への接続を遮断できるようにする。 |
自組織などでの確認項目
- 自組織のスパムメール隔離・メールゲートウェイ等の境界機器について、製品名・バージョン・管理画面の公開範囲を一覧にできているか。ベンダーの脆弱性情報を受け取る担当者は決まっているか。
- 自組織の周辺機器が参照するディレクトリサーバー（LDAP/AD）のアカウントに、パスワード関連の属性まで読める権限が付いていないか。機器が侵害された場合に参照できる範囲を説明できるか。
- 自組織で、メールやWi-Fiなどのパスワードが平文または可逆暗号化で保存されていないか。保存している場合、その理由と代替手段（SSO、証明書認証）は検討されているか。
- 全利用者のパスワードを1日以内に強制リセットする手順とお知らせ文面は用意できているか。機器の外向き通信ログは、何日分を、誰が検索できる形で保存しているか。
未解明点
- 不正アクセスが最初に行われた日時と、検知（2025年11月26日）までの期間は公表されていない。
- 攻撃者の特定や主張の有無、被害組織による認定は公表されていない。
- 対象機器の具体的な製品名・バージョンと、CVE-2025-20393との関係は、慶應義塾からは公式に示されていない。
- 漏えいがほぼ確実とされる6,447件のうち、実際に外部へ持ち出されたと確認できた件数は示されていない。
- 公式の続報（調査結果の最終報告、再発防止策など）は、確認した範囲では示されていない。
- 2026年9月14日にKICが注意喚起したフィッシングメールが、本件の情報漏えいと関係するかどうかは、公式には示されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-26報道本文確認済
- 2Hiyoshi Information Technology Center, Keio University2022-01-11公式本文確認済
- 3慶應義塾 広報室2025-12-26公式本文確認済
- 4Shonan Fujisawa Information Technology Center, Keio University2018-08-27公式本文確認済
- 5Shonan Fujisawa Information Technology Center, Keio University2022-07-08公式本文確認済
- 6慶應義塾湘南藤沢情報センター（KIC）2026-09-14公式本文確認済