要点
発表された事実
- 学校法人修道学園は2026年9月30日、学園が管理するサーバーへの第三者による不正アクセスを9月26日に確認し、個人情報を含む情報が外部に漏えいしたおそれがあると公表した（修道学園のお知らせ（第1報））。
- 漏えいのおそれがある情報には、広島修道大学、修道中学校・高等学校、広島修道大学ひろしま協創中学校・高等学校と取引のある企業などの口座情報等のほか、学園の教職員、一部の学生、外部講師などの氏名・住所・電話番号などの個人情報と口座情報等が含まれるとしていた（同）。
- 10月8日の第2報で、現在の調査段階では、漏えいのおそれがある情報に学生に関するものは含まれていないことが確認されたとした（修道学園のお知らせ（第2報））。
- 漏えいした可能性のある情報の公開や不正利用、被害の報告は確認されていない。外部専門機関の協力を得て原因・経緯・影響範囲を調べており、個人情報保護委員会に報告した（第1報）。
わかっていないこと
- 侵入経路と原因
- 不正アクセスを受けたサーバーの種類と用途（経理・支払い用か、ファイルサーバーか など）
- 漏えいのおそれがある件数（取引先、教職員、外部講師それぞれ）
- 「口座情報等」の「等」に含まれる項目
- 不正アクセスの期間と、9月26日に何をきっかけに確認したか
- 実際に外部へ持ち出された形跡があるか（現時点は「漏えいしたおそれ」）
- 学生情報を当初対象に含めた理由と、対象外と判断した根拠
- 対象者への個別連絡の有無と時期
関係しそうな既知の手口
- （考察）取引先や教職員・講師の口座情報は、支払いのために経理担当が扱う情報で、それが漏れると、実在の取引を装った振込先変更の詐欺（ビジネスメール詐欺）に使われうる。10月7日に公表された戸田建設の事案でも、取引先への支払いを管理するシステムが狙われている。両者に関係があるかはわからない。
- （考察）JPCERT/CCは10月8日の注意喚起で、従業員向け管理システムなど、不特定多数のアクセスを想定していないシステムでも情報漏えいが起きているとして点検を求めている。本件の侵入経路は公表されていない。
概要
- 広島修道大学や修道中学校・高等学校などを運営する修道学園で、学園のサーバーに不正アクセスがあり、取引先企業の口座情報や、教職員・外部講師の氏名・住所・電話番号・口座情報が漏えいしたおそれがある。
- 当初は一部の学生の情報も対象としていたが、10月8日の第2報で学生の情報は含まれていないと訂正した。
- 原因、件数、侵入の手口は調査中で、公表されていない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-09-26（土） | 学園が管理するサーバーへの第三者による不正アクセスを確認（第1報） |
| 2026-09-30（水） | 第1報を公表。取引先企業などの口座情報、教職員・一部の学生・外部講師などの個人情報と口座情報が漏えいしたおそれ。個人情報保護委員会に報告（第1報、広島修道大学のお知らせ） |
| 2026-10-08（木） | 第2報。漏えいのおそれがある情報に学生に関するものは含まれていないことを確認（第2報） |
発表内容の整理
事実（第1報・第2報）
| 対象 | 漏えいのおそれがある情報 |
|---|---|
| 広島修道大学、修道中学校・高等学校、広島修道大学ひろしま協創中学校・高等学校と取引のある企業等 | 口座情報等 |
| 学園の教職員、外部講師等 | 氏名、住所、電話番号などの個人情報、口座情報等 |
| 学生 | 第1報では「一部の学生」を対象に含めていたが、第2報で含まれていないことを確認 |
- 件数：公表されていない。
- 対応：外部専門機関の協力を得て、原因、経緯、影響範囲、漏えいした可能性のある情報の詳細を調査中。個人情報保護委員会に報告。
- 問い合わせ：修道学園 コンプライアンス・リスク統括室（082-830-1185）。
考察
対象が取引先・教職員・外部講師の「口座情報」に集中していることから、支払いや給与・謝金の処理に使うデータが置かれたサーバーが狙われた可能性がある。外部講師の謝金の支払いでは、講師から氏名・住所・口座をまとめて受け取るのが一般的で、その情報が一か所に集まっていたと考えられる。ただし、どのサーバーだったかは公表されていない。
第1報で「一部の学生」を含めたのは、調査が進む前の時点で広めに見積もったためとみられ、第2報での除外は調査の進展を示す。一方、件数や侵入の手口は第2報でも示されておらず、取引先や講師が自分が対象かどうかを判断できる情報はまだない。
関係しそうな既知の手口
考察
- 口座情報を使った振込先変更の詐欺：取引先名と口座情報を知った攻撃者が、学園や取引先を装って「振込先が変わった」と連絡する手口がありうる。学園と取引先の双方で、メール以外の経路での確認が有効だ。
- 相次ぐ国内の情報漏えい：JPCERT/CCは、9月前後から国内組織で相次ぐ情報漏えいについて、既知の脆弱性の探索や管理不備の悪用（設定ファイルやバックアップファイルの窃取など）、Webシェルの設置などの類型を挙げている。本件の侵入経路は公表されていない。
利用者・運用者がいまできること
事実（発表に基づく）
- 本件の問い合わせは、修道学園のコンプライアンス・リスク統括室（082-830-1185）へ。
考察（取引先・教職員・外部講師向け）
- 修道学園やその関係者を名乗り、口座の確認や振込先の変更、個人情報の再入力を求める連絡は、既に知っている連絡先で学園に確かめてから対応する。
- 口座のある金融機関の取引明細を確認し、身に覚えのない引き落としや取引がないかを見る。
考察（教育機関の運用者向け）
- 経理・人事・謝金処理などに使うサーバーやファイル共有が、学外から届く状態になっていないかを確認する。
- 口座情報など支払いに使う情報は、保存場所を限定し、不要になったものを消す。誰がいつ参照したかのログを残す。
参考リンク
- 不正アクセスによる情報漏えいのおそれに関するお知らせとお詫び（学校法人修道学園、2026-09-30）
- 不正アクセスによる情報漏えいのおそれに関するお知らせとお詫び（第２報）（学校法人修道学園、2026-10-08）
- 不正アクセスによる情報漏えいのおそれに関するお知らせとお詫び（広島修道大学、2026-09-30）
- 【第2報】不正アクセスによる情報漏えいのおそれに関するお知らせとお詫び（広島修道大学、2026-10-08）
- 関係者の個人情報や口座情報が流出の可能性 - 修道学園（Security NEXT）
- 直近で相次いでいる国内組織における不正アクセスに関する注意喚起（JPCERT/CC、2026-10-08公開・10-09更新）