佐賀大学 ― ランサムウェア被害で個人情報と患者情報が流出した可能性

要点

佐賀大学は2026年9月24日8時42分、事務部門が使うNAS（ネットワーク接続型のファイルサーバー）でランサムウェアによる被害を確認した。CSIRTが対応し、文部科学省などへ報告、警察に相談した（佐賀大学 9月28日の発表、佐賀大学 10月30日の発表）。
10月30日、情報が流出した可能性を否定できないと公表した。対象は学生・教職員・元学生・元教職員・関係者など約8万人分の氏名、生年月日、性別、住所、電話番号、メールアドレス、パスワード（佐賀大学 10月30日の発表、NHK）。
附属病院の患者の診療科、傷病名、受診日などの要配慮個人情報も対象で、患者の人数は調査中（佐賀大学医学部附属病院、佐賀大学）。
外部の専門機関が侵入経路と影響範囲を調べている。二次被害は確認されていない（同）。

【2026-11-01追記】読売新聞によると、大学は10月30日の記者会見で、今回の攻撃で脅迫を受けたと説明したが、詳細は明らかにしなかった。佐賀県警にも相談し、感染経路を調べている（読売新聞）。

（考察）セキュリティ対策Labは、ランサムウェアグループ「The Gentlemen」のリークサイトに「Saga University」のページが掲載されたと報じている。大学はこれを認めておらず、未確認の情報として扱う。

概要

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

時期	出来事
2026-09-24（木）8:42	事務部門のNASでランサムウェア被害を確認（佐賀大学）
09-24（木）16:45	事務系端末を停止（セキュリティ対策Lab）
09-27（日）11:03	事務系端末の利用を再開（同）
09-28（月）	通常業務。被害を最初に公表（佐賀大学 9月28日の発表）
10-30（金）	個人情報・患者情報の流出の可能性を公表（佐賀大学、NHK）
10-31（土）	読売新聞が、大学が30日の記者会見で攻撃による脅迫を受けたと説明したと報道（詳細は非公表）
10-31（土）	セキュリティ対策Labが、The Gentlemenのリークサイトへの掲載を報道

事実（佐賀大学の発表による）

項目	内容
被害を受けた機器	事務部門が使うNAS
学生・教職員など	約8万人。氏名、生年月日、性別、住所、電話番号、メールアドレス、パスワード
患者	診療科、傷病名、受診日などの要配慮個人情報。人数は調査中
対応	CSIRTによる対応、文部科学省などへ報告、警察に相談、外部専門機関による調査
二次被害	確認されていない

事実（報道による、未確認）

セキュリティ対策Labは10月31日、The Gentlemenのリークサイトに「Saga University」のページがあり、「CONTACT_BUY_DATA.txt」というファイル名が表示されていたと報じた（セキュリティ対策Lab）。大学は攻撃者を公表しておらず、この掲載が本件と同じ攻撃によるものかは確認できない。

考察

事務部門のNASに病院の患者情報まで置かれていた点が目を引く。共有フォルダに業務ファイルとして集まった名簿や一覧が、まとめて対象になったと考えられる（考察）。

対象に「パスワード」が含まれるのに、何のパスワードか、ハッシュ化されていたかは示されていない。大学のアカウントのパスワードであれば、同じパスワードを他で使っている人への影響が大きい（考察）。

事実（既知の知見）

考察

ランサムウェアの被害では、暗号化の前にデータを持ち出しておき、身代金を払わなければ公開すると脅す二重恐喝が一般的になっている。リークサイトへの掲載が事実なら、この形に当たる可能性がある（考察）。