学校法人修道学園の管理サーバへの不正アクセス（教職員・外部講師・取引先の氏名・口座情報等の漏えいのおそれ、件数未公表）
公表日
広島修道大学などを運営する学校法人修道学園のサーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、教職員や外部講師、取引先の氏名・口座情報などが漏えいしたおそれがあります。件数はまだ公表されていません。
対象者は？
修道学園（広島修道大学・修道中学校・修道高等学校・ひろしま協創中学校・ひろしま協創高等学校）の教職員と外部講師など（氏名・住所・電話番号・口座情報など）と、学園と取引のある企業など（口座情報など）です。第1報では「一部の学生」も含まれていましたが、第2報で学生の情報は含まれていないことが確認されました。件数は公表されていません。9月30日の時点で、情報の公開や悪用は確認されていません。
学園の公式のお知らせで確認できます。問い合わせ先は学園のコンプライアンス・リスク統括室です。
いますぐできること
- 教職員・外部講師の方は、給与や謝金の振込口座に身に覚えのない入出金がないか、通帳やアプリで確認する
- 学園を名乗るメール・電話で、口座の変更や個人情報の確認を求められても応じない。学園の窓口に自分から問い合わせて確かめる
- 取引先の企業は、学園の名前で「振込先を変えたい」「請求内容を確認したい」といった連絡が来たら、いつもの連絡先に電話して確かめる
何が起きたのか
2026年9月26日、学校法人修道学園は、学園が管理するサーバーに第三者が不正にアクセスしたことを確認しました。9月30日に第1報を出し、取引先の口座情報や、教職員・一部の学生・外部講師などの個人情報が外に漏れたおそれがあると発表しました。10月8日の第2報で、漏えいのおそれがある情報に学生の情報は含まれていないことが確認されました。学園は個人情報保護委員会に報告しています。
なぜ起きたのか・なぜ広がったのか
どのサーバーが、どこから、どのように侵入されたかは、まだ公表されていません。ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の被害かどうかも明らかにされていません。外部の専門機関が原因と影響の範囲を調べています。
いまの状況2026-10-08 時点続報待ち
外部の専門機関による調査が続いています。対象となる人数や件数、侵入の経路、再発防止策は、まだ発表されていません。授業や業務への影響についての発表はありません。
企業として考えたいこと
自社では、社員や取引先の口座情報がどのサーバーに、どれだけ保存されているか把握できているでしょうか。漏えいのおそれが出たとき、対象者をすぐに数えられるでしょうか。
技術的な要約
学校法人修道学園は2026年9月26日、学園が管理するサーバーへの第三者による不正アクセスを確認し、9月30日に個人情報を含む情報が外部に漏えいしたおそれがあると公表した。対象となりうる情報は、広島修道大学・修道中高・ひろしま協創中高と取引のある企業等の口座情報等と、教職員・外部講師等の氏名・住所・電話番号・口座情報等で、第1報で挙げた『一部の学生』については10月8日の第2報で学生に関する情報は含まれないことが確認された。件数・侵入経路・攻撃種別は未公表で、外部専門機関が調査中、個人情報保護委員会へ報告済み。情報の公開や不正利用は9月30日時点で確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明不明。公式は『本学園が管理するサーバーに対する第三者による不正アクセス』とのみ説明し、サーバーの用途、侵入経路、ランサムウェアの有無、悪用された脆弱性・認証情報は非公表（2026-10-08時点）。外部専門機関が原因・経緯・影響範囲を調査中。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 授業・業務への影響についての記載はない。
- データ
- おそれ上限 —確定 —氏名住所電話口座従業員情報取引先情報第1報（9/30）：①大学・中高と取引のある企業等の口座情報など、②教職員、一部の学生、外部講師等の氏名・住所・電話番号などの個人情報および口座情報など。第2報（10/8）：漏えいのおそれがある情報に学生に関するものは含まれていないことを確認。件数・人数は未公表。公開・不正利用・被害報告は9/30時点で確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 取引先企業の口座情報が対象に含まれるが、他組織のシステムへの波及は公表されていない。
時系列
技術解説
公表内容と判定 解釈
公表されているのは、9/26の不正アクセス確認、対象となりうる情報の種類（取引先・教職員・外部講師の口座情報、教職員の氏名・住所・電話番号）、PPCへの報告、10/8の『学生の情報は含まれない』という絞り込みまでで、件数・侵入経路・攻撃種別（ランサムウェアか否か）は出ていない。口座情報は高機微データだが件数が不明のため④（1万件以上）・⑥a（5千件以上）は判定できず、⑥b〜⑥fにも当たらないためBとした。学生が対象外となったことで残る母数は教職員・外部講師・取引先に限られる。件数が公表され5千件以上となればAに格上げする。口座情報と氏名・住所がそろって対象となっているため、経理・給与系のサーバーが侵害された可能性があるが、これは推測で公式は用途を示していない。
対応
- 封じ込め
- 外部専門機関の協力を得て原因・経緯・影響範囲・漏えいの詳細を調査中。具体的な遮断・復旧措置は非公表。
- 公表の仕方
- 9/30第1報（学園サイト）、10/8第2報（学生情報は対象外と確認、大学サイトにも告知）。件数・経路は未公表。問い合わせ窓口：コンプライアンス・リスク統括室。
- 当局対応
- 個人情報保護委員会：報告済み（9/30公表）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 口座情報（給与振込・支払先）が侵害されたサーバーから到達可能だった | 給与・支払の振込先口座は経理システムの専用DBに限定し、項目単位で暗号化（アプリ層暗号化・鍵はKMS）。一般業務サーバーやファイル共有に口座一覧のCSV/Excelを置かないことを定期スキャンで確認する |
| 初報で対象者の範囲が広く示され、後から絞り込まれた | どのサーバーにどの属性（学生/教職員/取引先）のどの項目があるかを平時にデータ台帳化し、侵害時に初報で対象範囲と最大件数を正確に示せるようにする |
自組織などでの確認項目
- 自組織で取引先・職員の口座情報を保持しているシステムやファイルはいくつあり、それぞれ誰がアクセスできるか。
未解明点
- 侵害されたサーバーの用途・侵入経路・攻撃種別（ランサムウェアの有無）
- 対象者の件数（教職員・外部講師・取引先別）
- 同時期に公表された他の教育機関の不正アクセスとの関連の有無
出典
- 1学校法人修道学園2026-09-30公式本文確認済
- 2学校法人修道学園2026-10-08公式本文確認済
- 3広島修道大学2026-10-08公式本文確認済
- 4セキュリティ対策Lab（Rocket Boys）2026-10-02報道本文確認済
- 5セキュリティ対策Lab（Rocket Boys）2026-10-07報道本文確認済