要点
発表された事実
- 関西国際大学は2026年9月30日、学内システムの一部に第三者による不正アクセスを確認し、被害拡大を防ぐため学内システムのインターネット接続を停止したと公表した。侵入経路、発生時期、影響範囲、情報漏えいの有無を調べ、警察署に相談しているとした（第1報）。
- 10月6日の第2報で、eポートフォリオシステムへの不正アクセスにより複数のファイルが外部に取得されたことを確認したと発表した。アクセス記録の分析で、保存されていたファイルが外部から繰り返し取得されていたという（第2報）。
- 取得されたファイルに含まれる、2023年3月までに在籍していた学生の在学中の経験や振り返り等の文字情報が、外部に流出したと判断している（同）。
- これらの文字情報に氏名・学籍番号等が含まれるか、個人を特定できる情報と結び付いているか、ほかの情報の流出の有無、在学生への影響、対象者の範囲と件数は確認中（同）。
- 学内Wi-Fiを含む学内ネットワークの接続を停止しており、安全を確認できたシステムから段階的に再開する方針。10月中旬以降、学内からWebClass、Universal Passport等を使える環境の段階的な再開を目指す。学外からの利用と学内Wi-Fiは、調査結果と対策の状況を踏まえて判断する（同）。
わかっていないこと
- 侵入経路と原因（外部専門機関による調査は「手配を進め」ている段階）
- 不正アクセスの発生時期と、ファイルの取得が続いた期間
- 流出した文字情報が氏名・学籍番号などと結び付くか、対象者の範囲と件数
- eポートフォリオ以外のシステムへの影響と、在学生の情報への影響
- ランサムウェアなどによる暗号化や脅迫の有無（発表では触れていない）
- 個人情報保護委員会への報告の状況（「判明した事実に応じて必要な対応を進め」るとしている）
関係しそうな既知の手口
- （考察）大学のeポートフォリオのように、学外からも使うWebアプリで、卒業生の記録を長く残している例は多い。公開されたWebアプリの脆弱性や、教職員・学生のアカウントの乗っ取りから入られ、在学中にはもう使われていない過去のデータまで持ち出される流れは、ほかの業種でも繰り返し見られる。本件の侵入経路は公表されていない。
概要
- 関西国際大学（神戸市）で学内システムへの不正アクセスが見つかり、学修記録をためるeポートフォリオシステムから複数のファイルが外部に繰り返し取得された。
- 2023年3月までに在籍した学生の在学中の経験や振り返りなどの文字情報が流出したと大学は判断している。氏名などと結び付くか、件数は確認中。
- 学内Wi-Fiを含むネットワークを止めており、授業連絡や課題提出、就職支援などは代替手段で対応。10月中旬以降に学内からの利用を段階的に再開する目標。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-09-30（水） | 第1報。学内システムの一部に第三者による不正アクセスを確認。学内システムのインターネット接続を停止し、一部の学内システムにアクセスできない状態に。警察署に相談 |
| 2026-10-06（火） | 第2報（学長名）。eポートフォリオシステムの複数ファイルが外部から繰り返し取得されたと確認し、2023年3月までの在籍者の文字情報が流出したと判断。学内Wi-Fiを含む学内ネットワークを停止中。10月中旬以降、学内からのWebClass・Universal Passport等の段階的再開を目指す |
| 2026-10-07（水） | 報道で、授業や手続きに支障が出ていることが伝えられる（ITmedia NEWS） |
発表内容の整理
事実（第2報）
| 項目 | 内容 |
|---|---|
| 対象システム | eポートフォリオシステム |
| 確認されたこと | アクセス記録の分析で、保存されていた複数のファイルが外部から繰り返し取得されていた |
| 流出したと判断した情報 | 取得されたファイルに含まれる、2023年3月までに在籍していた学生の在学中の経験や振り返り等の文字情報 |
| 確認中 | 氏名・学籍番号等が含まれるか／個人を特定できる情報と結び付くか／その他の情報の流出／在学生の情報への影響／対象者の範囲・件数 |
| 被害拡大の防止 | 学内Wi-Fi等を含む学内ネットワークの接続を停止。安全を確認できたシステムから段階的に再開 |
| 調査 | 外部専門機関による調査の手配を進め、経路と原因を究明。警察等と連携 |
事実（学生・保証人への案内）
- システム停止が長引く可能性があるため、授業連絡、教材配布、課題提出、履修・成績の手続き、就職支援などは代替の方法を順次案内する。提出期限や手続き方法は状況に応じて調整する。
- 今後、大学の案内に従ってパソコン等のセキュリティ対策の確認やパスワード変更に協力するよう求めている（方法と時期は改めて案内）。
- 大学のシステムと同じパスワードをほかのサービスで使っている場合は、念のため変更する。
- 大学や関係機関を名乗る不審なメール・電話に注意し、パスワードや認証コードを伝えない。困ったときは各キャンパスの学生課に相談する。
考察
流出したと判断された情報は「2023年3月までに在籍していた学生」のもので、大学は在学生の情報への影響を別に調べているとしている。このため、流出が判断されたのは主に、すでに在籍を終えた人の記録とみられる。そうであれば、卒業・退学から年月がたった人の記録が、外部から取得できるシステムに残っていたことになる。eポートフォリオは学びの振り返りを書く場所であり、実習先や就職活動、悩みなど、本人にとっては人に見せたくない内容も含まれうる。氏名と結び付かない文字情報でも、文中に固有名詞が書かれていれば個人が特定されうる。
大学は「確認できた事実と調査中の事項を区別し」て伝えると明記しており、流出を判断した範囲と確認中の範囲を分けて書いている。一方で、eポートフォリオ以外にも学内ネットワーク全体を止めていることから、被害がほかのシステムにも及んでいないかを確かめきれていない段階と読める。
関係しそうな既知の手口
考察
- 大学への攻撃の連続：同じ時期に、大阪公立大学が10月2日からランサムウェアで情報基盤を止めている。富山県立大学では学生のMicrosoft 365アカウントが乗っ取られて迷惑メールが送られ、原因は学生の私物PCのマルウェア感染によるID・パスワードの窃取の可能性があると発表されている（ITmedia NEWS）。関西国際大学の侵入経路はまだわかっておらず、これらとの関係も示されていない。
- 使われなくなったデータの残存：吉野家HD／ApplyNowでは、契約終了後も残っていた応募者データが流出した。本件も、在籍を終えた人の記録が残っていたことで被害の対象が広がったとみられ、保存期間を決めて消す運用がないと、過去の利用者まで巻き込まれる。
- 学外公開のWebアプリ：学生が自宅からも使う学修支援系のシステムは学外に公開されることが多く、ソフトウェアの脆弱性やアカウントの乗っ取りの入り口になる。
利用者・運用者がいまできること
事実（大学の案内に基づく）
- 大学のシステムと同じパスワードをほかのサービスで使っている場合は変更する。
- 大学や関係機関を名乗る不審なメール・電話でパスワードや認証コードを聞かれても答えない。不審な連絡は各キャンパスの学生課に相談する。
- 今後、パソコンのセキュリティ確認やパスワード変更の案内が出たら従う。
考察（卒業生・在学生向け）
- 2023年3月までに在籍していた人は、自分がeポートフォリオに何を書いていたかを思い出しておく。個別の連絡が来たときに、どの情報が問題になりうるかを判断しやすくなる。
- 大学名や在学中の出来事に触れてくる連絡は、流出した記録をもとにした詐欺の可能性も考える。
考察（大学の情報システム担当向け）
- 学修記録や就職支援の記録など、卒業後は使わないデータの保存期間を決め、期限を過ぎたものは消すか、学外から届かない場所へ移す。
- 学外公開しているWebアプリと、そのソフトウェアの版数を一覧にし、脆弱性情報と照らし合わせる。
- ファイルの大量・連続取得のような、普段の利用では起きないアクセスを検知できるようにアクセス記録を取り、見る。