北海道釧路市は2026年10月15日、市立小中学校の学習用端末の管理運用を委託している株式会社ポータスがランサムウェア攻撃を受け、市の端末設定などの情報を保存していたサーバーから、児童生徒と教職員のアカウント情報などが外部に流出した可能性があると発表した。市によると、現時点で情報の流出や不正利用は確認されていない。
事案の詳細
市によると、ポータスの社内サーバーは8月29日にランサムウェア攻撃を受けた。同社は当初、市が利用するサーバーに影響はないと報告していたが、その後の外部専門機関の調査で、市の端末設定などに関する情報を保存していたサーバーに不正アクセスの痕跡が見つかった。10月13日、同社から市に対し、情報が外部に流出した可能性を否定できないとの報告があった。学校の学習用端末や市教育委員会のシステムが直接攻撃を受けたわけではないという。
流出した可能性があるのは、児童生徒と教職員の学校名、氏名、ふりがな、アカウント名、パスワード。件数は、2020年度分が児童生徒1万1106件、教職員879件、管理者4件、2025年度分が児童生徒9252件、教職員871件、2026年度分が児童生徒8284件、教職員837件。年度ごとの件数のため、同じ人が重複して含まれている可能性がある。
このほか、全39校分の学校のネットワーク機器と、学校用メールアドレスなどの管理用パスワードも流出した可能性がある。住所、生年月日、電話番号、口座情報、成績、健康診断の情報は含まれていない。侵入経路や身代金要求の有無は公表されていない。
影響と背景
今回流出の可能性があるのは、子どもたちが学習用端末やクラウドサービスにログインするためのアカウント名とパスワードに加え、学校のネットワーク機器やメールを管理するためのパスワードだ。悪用されれば、児童生徒になりすましたログインや、学校のネットワーク設定の変更などにつながるおそれがある。
委託先は当初、市への影響はないと報告しており、影響が判明するまでに攻撃から1か月半近くかかった。端末の管理を外部に委託している場合、委託先の社内システムが攻撃されると、自治体や学校が気づかないうちに影響が広がる可能性があることを示している。
対策・今後の展望
市は、全ての児童生徒と教職員のアカウントのパスワード、学校のネットワーク機器やメールなどの管理用パスワードを速やかに変更するとしている。保護者には各学校を通じて順次説明し、謝罪する。ポータスに対しては、情報の取り扱いの重要性を改めて伝え、管理体制の確認と指導を行う。ポータスは外部専門機関に依頼して監視と調査を続けている。
- パスワードの一斉変更：委託先にパスワードを預けている場合、委託先の被害が判明した時点で、利用者と管理者の両方のパスワードを変更する。
- 委託先に渡す情報の見直し：委託先がパスワードを復元できる形で保管する必要が本当にあるかを確認し、初期パスワードの保管や管理用パスワードの共有を最小限にする。
- 報告の取り決め：委託先が攻撃を受けた場合は、自組織への影響の有無にかかわらず速やかに報告し、調査結果を共有するよう契約で定める。
- 多要素認証：管理用アカウントには多要素認証を設定し、パスワードだけでログインできない状態にする。
CSRIからの現場アドバイス
【現場で何が起きているか】委託先の社内で管理されている「お客さまの設定情報」や「初期パスワードの一覧」が、委託元の知らないうちに攻撃者の手に渡る例は少なくない。とくに機器の管理用パスワードは、一度設定すると長く変えられず、複数の拠点で使い回されていることもある。
【平易な解説】合鍵を管理会社に預けていたところ、管理会社の事務所に泥棒が入り、合鍵の一覧が盗まれたかもしれない、という状況に近い。自宅に被害がなくても、鍵を替えるまでは安心できない。
【中小企業が今週中にできること】保守や運用を委託している事業者に、自社のどの情報（設定情報、パスワード、利用者一覧など）を預けているかを確認する。管理用パスワードを委託先と共有している機器があれば、定期的に変更する手順と、委託先が被害を受けたときの連絡ルールを決めておく。