九州大学が外部サービス被害2件を公表｜校友会と職員アカウントで異なる対応

九州大学は2026年10月28日、利用する外部サービスへの不正アクセスにより、校友会の登録情報の漏えいと、病院の職員アカウント情報の漏えいのおそれが生じたと公表しました。校友会の登録者は不審メールへの注意と今後の個別案内の確認が必要です。治験管理システムの対象職員には、同じパスワードを使う他サービスでの変更を要請しています。

本稿は九州大学「外部サービスへの不正アクセスに伴う個人情報の漏えい等について」を10月29日に確認した事件ニュースです。大学が一つの発表で説明した二つの事案を整理します。同一の攻撃者や侵入経路による事件と確認されたものではありません。

校友会は氏名とメールアドレスの漏えいを確認

校友会では、同窓生への情報配信にメール配信サービス「ブラストメール」を利用していました。提供元はラクスライトクラウドで、大学が校友会ウェブサイトの運用を委託するQTmediaを通じて利用していたと説明しています。大学は、サービスに登録していた保有情報について、漏えいを確認したとの報告を受けています。

確認された情報項目は、校友会に登録された同窓生等の氏名とメールアドレスです。サービスへの登録情報は最大9,999件ですが、実際に漏えいした対象者数と件数は確認中です。9,999人全員の漏えいが確定したという発表とは区別する必要があります。

大学は公表に先立って校友会ウェブサイトで登録者向けに注意喚起を行っていました。今回の発表は、その後に確認した内容と対応状況をまとめたものです。対象者の確定を進め、確定後には事案の説明と不審メールへの注意を案内する方針です。学内CSIRTと個人情報保護委員会へ報告し、委託先とサービス運営会社に原因と影響範囲を確認しています。

QLIFICAでは職員9名の情報が調査対象

もう一件は、九州大学病院ARO次世代医療センターがSOLUMINAとの契約で利用する「QLIFICAモニタリングシステム」です。大学は治験管理システムと説明しています。委託先は不正アクセスを把握した後にサービスを停止し、侵入手口と情報流出の範囲を調べています。

漏えいのおそれがあるのは、職員9名の氏名、所属、メールアドレス、システム上のログインID、パスワード等のハッシュ値です。ただし、9名が実際の流出対象に含まれるかは調査中であり、校友会の事案と同じ「漏えい確認」として扱うことはできません。

10月28日の発表時点で、患者・被験者情報、要配慮個人情報、業務データの持出しは確認されていません。これは調査時点の確認状況です。治験管理システムという名称だけで患者情報の流出を断定したり、逆に今後も影響がないと保証したりする根拠にはなりません。

対象職員には使い回したパスワードの変更を要請

大学は対象職員に事案を説明して注意喚起し、同じパスワードを使用している他サービスでの変更を求めています。ハッシュ値が対象に含まれることと、平文のパスワードが漏れたことは同じではありません。一方、ハッシュ化されているという理由で大学の変更要請を不要と判断しないでください。

QLIFICAの事案についても学内CSIRTと個人情報保護委員会へ報告し、委託先へ原因、影響範囲、再発防止策を確認しています。確認した発表には、サービスの再開予定や具体的な侵入経路、ハッシュ方式の詳細は示されていません。大学全体のシステム停止や診療停止が発表されたという内容でもありません。

二つの窓口と追加発表を確認する

大学は両事案について、発表時点で二次被害を確認していないとしています。今後公表すべき事実が判明した場合は、対象者への連絡と関係機関への報告を行い、大学ウェブサイトで知らせる方針です。校友会の事案は校友会事務局、QLIFICAの事案は病院総務課が問い合わせ先として案内されています。連絡先は公式発表で確認できます。

以下は本サイトの提案です。大学や校友会の名前を使う連絡が届いても、メール内のリンクだけを頼りに認証情報を入力せず、大学の公式ページから窓口と案内を確認してください。今回、不審メールによる二次被害が実際に確認されたという説明ではなく、注意喚起を実行する際の確認方法です。

運用担当者には、同じ組織で複数の外部サービスが影響を受けても、対象データ、人数の確定状況、停止状況、本人への依頼をサービスごとに管理する判断が求められます。今回も、校友会の配信リストと職員の認証情報では対応が異なります。一つの最大件数や「漏えい」の表現にまとめず、委託先の調査結果を個別通知へ対応付けることが重要です。