関西国際大学（神戸市中央区）は10月6日、学生の学修記録を蓄積する「eポートフォリオシステム」に不正アクセスがあり、保存されていた複数のファイルが外部から取得されたと発表した。2023年3月までに在籍していた学生の情報が漏れた可能性がある。大学は調査と復旧を進めているが、授業の連絡や教材の配布、課題の提出、就職支援、各種手続きなどに支障が出ている。
事案の詳細
関西国際大学は9月30日、学内システムが不正アクセスを受けたことを公表した。その後、アクセス記録を分析した結果、外部から「eポートフォリオシステム」に保存された複数のファイルが複数回取得されたことが判明した。大学は、2023年3月までに在籍していた学生の情報が漏れたとみている。
流出した可能性がある情報には、学生の学修記録が含まれる。ファイルに氏名や学籍番号など個人を特定できる情報が含まれているかは確認中で、対象者の範囲や件数、ほかの情報の流出、在学生の情報への影響も調査している。現時点で、侵入経路や攻撃者、具体的な攻撃手法の詳細は明らかになっていない。
大学は被害拡大を防ぐため、学内システムのインターネット接続を停止し、現在はWi-Fiを含む学内ネットワークの接続も停止している。外部の専門機関による調査を手配し、警察とも連携して侵入経路や原因の究明を進めている。安全を確認できたシステムから段階的に利用を再開する方針だ。
システム停止の影響で、授業の連絡、教材の配布、課題の提出、就職支援などについて、大学は代替手段を順次案内している。10月中旬以降、学内から学習支援システムや教務システムなどを利用できる環境の段階的な再開を目指しているが、完全復旧の時期は現時点で不明。
影響と背景
学生の学修記録を扱う「eポートフォリオシステム」は、学修成果や活動記録などを蓄積する仕組みで、教育・事務運営と密接に関係する。今回の事案では、複数ファイルが外部から取得されたことが確認された一方、氏名や学籍番号などの個人特定情報が含まれていたか、情報が実際に第三者へ流出したか、対象者が何人に及ぶかは調査中だ。
また、ネットワーク停止によって授業連絡や教材配布、課題提出、就職支援などにも影響が及んでいる。情報漏えいの調査と、教育・事務機能の復旧を並行して進める必要がある点が今回の事案の特徴となっている。
対策・今後の展望
情報漏えいの可能性が生じた場合は、アクセス記録の保全と分析、影響範囲の切り分け、関係者への案内を並行して進める必要がある。授業や手続きに影響が出ている状況では、復旧の優先順位を明確にし、代替手段を確保することも重要になる。
- 状況の把握と公表：不正アクセスの発生日時、対象システム、外部から取得されたファイル、含まれる可能性のある情報、対象者の範囲を確認し、判明した事実を段階的に公表する。
- 運用の立て直し：安全を確認できたシステムから段階的に復旧し、授業連絡、教材配布、課題提出、就職支援、各種手続きについて代替手段を案内する。
- 再発防止の検討：外部の専門機関や警察と連携して侵入経路と原因を究明し、認証、権限管理、脆弱性管理、ネットワーク分離、ログ監視などを見直す。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが中小企業のMDR運用を支援する現場では、不正アクセスの兆候が、普段と異なる時間帯のアカウント利用や、通常は使われない管理画面へのログインとして検知されることがあります。使われていないIDが残ったまま、権限の棚卸しが実施されていないケースもあります。
【平易な解説】今回のような不正アクセスは、例えるなら「合鍵を作られて事務室に出入りされたかもしれない」状態です。学生の学修記録のような重要な情報を置いた場所に第三者が入り、ファイルを持ち出した可能性があります。授業や手続きが止まるのは、原因調査や安全確認のため、システムやネットワークへの接続を制限せざるを得ない場合があるためです。
【中小企業が今週中にできること】まず、業務システムの利用者IDを洗い出し、退職者・異動者のIDが残っていないか確認してください。次に、管理者権限を必要最小限にし、保有者と利用目的を明確にします。最後に、直近数日のログイン履歴やファイル取得履歴を確認し、見覚えのないアクセスがないか点検してください。異常が見つかった場合は、ログを保存した上で、対象アカウントの停止や認証情報の変更を行い、専門機関への相談を検討してください。