この記事のポイント
- 対象
- 京都外国語大学の旧ホームページサーバー
- 影響
- 旧ホームページサーバーに残っていた5,376人分の情報が取得され得る状態。公表時点で持ち出し・二次被害は未確認。
- 推奨対応
- 11月11日以降の個別通知と公式資料を確認し、大学を名乗る不審な連絡で認証情報・口座情報等を渡さない。
- 公表日
目次
学校法人京都外国語大学は2026年11月10日、旧ホームページサーバーへの不正アクセスにより、5,376人分の個人情報が外部から取得され得る状態にあったと公表しました。公表時点で、外部への持ち出しや二次被害は確認されていません。対象者への個別メールは11月11日以降に順次送るとしています。
対象には卒業生や当時の学生だけでなく、関連校の資料請求者や校友会の会員も含まれます。大学を名乗る連絡でも、パスワードやカード・銀行口座の情報、金銭の支払いを求められた場合は応じず、公式案内から確認する必要があります。
スポンサーリンク
旧サーバーに過去の申込データが残っていた
本稿は大学の11月10日付公式報告書（PDF）に基づく事件ニュースです。対象サーバーには、主に2000年から2017年にWebフォームなどで受け付けた情報が残っていました。現行サイトの利用者だけが対象という事案ではありません。
大学が示した対象者の合計は、複数の区分に該当する人を一人として数えた5,376人です。大学・短期大学の卒業生や当時の学生、当時の教職員・学生団体などのほか、京都外国語専門学校、京都外大西高等学校、京都外国語大学校友会に関係する情報が挙げられています。
内容は卒業生登録、受講記録、オープンキャンパス申込、資料請求、問い合わせ、校友会の変更届などです。氏名や連絡先、学籍番号、勤務先、在籍校・学年などが含まれ、一部には生年月日、専門学校の欠席等の届出には健康に関わる内容もありました。すべての対象者に同じ項目が含まれるわけではなく、カード情報は対象外と説明されています。
侵入開始と発覚を分けて確認する
後の調査で判明した不正アクセスの開始は10月21日です。大学は10月30日に侵入の痕跡を確認し、同日に旧サーバーをネットワークから切り離しました。侵入期間中には、サーバー内のファイルがまとめて読み込まれた記録があるとしています。この記録を、外部への持ち出しが確認されたという説明に読み替えてはいけません。
11月2日には侵入範囲の調査を終えて対策本部を設置し、その後、文部科学省、個人情報保護委員会、京都府などへの報告や警察への相談、への報告を行っています。大学は外部専門業者による調査も行う方針で、新事実が判明した場合には公式サイトで知らせるとしています。
スポンサーリンク
認証不要の機能とサポート終了OSを原因として説明
大学は、旧サイトの更新機能にログインせず利用できる設定のものが残り、そこから不正プログラムを設置されたと考えています。また、サポートが終了したOSの未修正の弱点が利用され、古いプログラムとデータを残したことも影響を広げた要因と説明しています。
報告書はOSや更新機能の具体的な製品・版、番号を示していません。そのため、特定のや最近公表されたPHPとの関係を推測する根拠にはできません。原因として公表された範囲と、技術的に未公表の部分を分けて扱う必要があります。
対応として、サイトは別サーバーへ移し、プログラムが動かない形で公開しています。旧環境に残っていたパスワード等のうち現在も使用しているものは変更し、今回の侵入者による大学メール等への不正ログイン記録はないことを確認したとしています。これは、旧サーバーの保存情報に影響がないという意味ではありません。
個別通知と不審な連絡への対応
メールアドレスが分かる対象者には11月11日以降、順次通知する方針です。連絡先が不明な人には、公式サイトでの公表を通知に代えるとしています。メールが来ていないことだけで対象外と判断せず、当時の申込や所属に心当たりがあれば、公式資料の対象区分を確認してください。
大学は、メールや電話でパスワード、カード情報、銀行口座情報、金銭の支払いを尋ねることはないと案内しています。ここからは本サイトの提案です。通知の真偽に迷った場合は、届いた連絡にそのまま返信する前に、大学の公式サイトから本件の問い合わせ先をたどり、案内内容を照合します。
スポンサーリンク
移行後の旧環境も保守の対象になる
Web運用担当者にとっての論点は、新しいサイトが稼働していても、旧サーバーに機能や個人情報が残れば影響が続くことです。本サイトでは、移行完了の確認に、旧ホストへの到達性、残った更新機能、OSの保守状態、保存データの必要性を含めることを提案します。今回どの防御があれば確実に防げたかを断定するものではありません。
大学は不要プログラム・データの削除、サポート終了ソフトウェアの更新・廃止、外向き通信の制限、記録保存と監視、事故対応手順の見直しを進めるとしています。現時点では漏えいのおそれとして公表されているため、対象者への案内でも、侵入確認・取得可能な状態・持ち出し未確認を区別することが重要です。
