大阪大学で約7万7000人の個人情報が漏えいした原因と委託先管理の盲点

ABCニュースの報道（Yahoo!ニュース掲載）によると、大阪大学はシステム運用を委託していた日本電気（NEC）の協力会社がサイバー攻撃を受け、在学生や卒業生など約7万7000人分の個人情報が漏えいしたと公表しました。契約に基づかないクラウドストレージへのデータ保管や、削除されるべきファイルの残存が重なった結果、第三者によるダウンロードを許す事態に至っています。

ABCニュース（Yahoo!ニュース）：大阪大学で７万７千人超の個人情報が漏えい　システム運用委託のＮＥＣ協力会社へのサイバー攻撃で

業務委託先が利用するクラウド環境やストレージの設定に不備がないか不安がある場合は、専門家による客観的な検証が有効です。

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

この記事のポイント

影響を受けた可能性がある人・情報

（個人）大阪大学の卒業生（約5万9000人）、在学生（約1万5000人）、教職員（約3800人）の氏名および大学が付与するメールアドレスなど
（企業）大阪大学のシステム運用業務において、NECおよび無断で業務に関与していた別会社が取り扱っていたクラウドストレージ環境

今すぐ取るべき対応

（個人）大学から付与されたメールアドレスを悪用した不審な連絡やフィッシングメールに注意し、安易にリンクや添付ファイルを開かないよう警戒します
（企業）システム運用の委託契約において再委託先の承認手続きが守られているか、契約外のクラウドストレージに本番データが保管されていないかを棚卸しします
（企業）作業完了後に削除すべき個人情報や業務ファイルが、協力会社や外部ストレージ上に残存していないか削除ルールと運用の実態を照合します

この記事に出てくる専門用語

クラウドストレージ：インターネット経由でファイルを保存・共有できるオンライン保管庫です。今回の事案では、契約で認められていない別会社との情報共有のために個人情報ファイルが保存されていました。
二次被害：流出した個人情報が悪用され、フィッシング詐欺や不正アクセスなどの新たな攻撃に巻き込まれる被害のことです。今回の事案では10月21日時点で不正利用は確認されていません。

大阪大学の学内情報約7万7000人分が漏えいした経緯

ABCニュースの報道によると、大阪大学は2026年10月9日、システム運用を委託しているNECから、個人情報を含むファイルが第三者にダウンロードされていたという報告を受けました。実際のダウンロードが行われたのは9月26日であり、侵害から学内への一次報告まで約2週間の間隔が生じています。

流出した対象の内訳は、卒業生約5万9000人、在学生約1万5000人、教職員約3800人で、合計約7万7000人に達します。漏えいしたファイルには、対象者の氏名や大学から付与されたメールアドレスなどが含まれていました。

侵入調査の現場では、委託元への初動報告が遅れるほど被害端末のログが消失し、影響範囲の特定が難しくなる傾向があります。侵害の検知から報告までのタイムラインを短縮できる運用態勢を委託契約段階で握っておくことが、被害拡大を食い止める防壁になります。

委託先における無断でのデータ共有と残留ファイルの原因

事態の発端となったのは、契約外の企業関与と不適切な保管運用でした。大学側の調査により、大学に事前報告されていなかった別の会社がシステム運用の実務に関与していた実態が明らかになっています。

NECはこの別会社と情報共有を行う目的で、大阪大学との契約に基づかないままクラウドストレージに個人情報を保存していました。さらに、本来であれば作業終了後に速やかに消去すべきファイルが長期間保持され続けたまま放置されており、そのデータがサイバー攻撃によって持ち出されました。

私たち診断者がサプライチェーン調査を行う際にも、下請け企業が利便性を優先して個人クラウドや非認可ストレージへ本番データを持ち出すケースが頻繁に見受けられます。アクセス権を厳密に管理していても、保管場所そのものが監査の網から外れていれば、防御の仕組みは機能しません。

被害の確認状況と大学側が求めている再発防止の対応

大阪大学の発表によると、10月21日時点において流出した個人情報の不正利用や二次被害の発生は確認されていません。氏名とメールアドレスの組み合わせが外部に渡った状態にあるため、関係者は大学アドレス宛てに届く不審な連絡への警戒を維持する局面が続いています。

大学側は今回の事態を重く見て、委託元のNECに対して根本的な原因究明と、再発防止策を徹底するよう正式に要請しています。契約にない再委託やルールの形骸化が起きた背景を解明しなければ、実効性のある再発防止策を組み立てることはできません。

事故後の対応で私たちが注目するのは、ベンダー側が提示する技術的対策だけでなく、ルール遵守を担保する監査の仕組みです。書面上の契約に留まらず、定期的なデータ消去の実施ログやアクセス記録を委託元が直接検証できる運用へ改める動きが鍵を握ります。

業務委託先とクラウドを扱う組織が実施すべき点検手順

委託先経由の情報流出を防ぐためには、現場の実態に踏み込んだ管理項目の確認が欠かせません。契約上の取り決めが存在していても、実際の作業環境でデータがどのように流れているかを可視化できていない組織は少なくありません。

社内システムや外部委託を管理する担当者は、以下の項目に沿って保管実態と委託運用の照合を進めます。

業務に関わるすべての再委託先企業が契約で承認された事業者のみであるかリストを再照合する
業務委託先が本番データを取り扱う際、契約外のSaaSや個人クラウドへのアップロードを遮断しているか確認する【要確認：一次情報に記載なし】
検証や運用作業のために一時保管した個人情報ファイルについて、作業完了後の消去ログを提出させているか確認する【要確認：一次情報に記載なし】
侵害が発生した際の委託元への一次報告期限を契約書および運用手順書で規定しているか見直す【要確認：一次情報に記載なし】

私たちなら、委託先の自己申告に頼るのではなく、共有ストレージの共有リンク設定やファイル滞留日数を定期的に抽出して機械的に棚卸しする体制を整えます。不要なファイルを残さない運用を仕組みとして自動化することが、サプライチェーン攻撃による被害リスクを着実に低減させます。

参考文献・記事一覧

ABCニュース（Yahoo!ニュース）「大阪大学で７万７千人超の個人情報が漏えい　システム運用委託のＮＥＣ協力会社へのサイバー攻撃で」

外部パートナーが独自に構築したクラウド環境の安全性を確かめたいときは、設定状況やアクセス権限の網羅的な診断をお役立てください。

投稿者プロフィール

Cyber News: サイバーセキュリティニュースボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。