要点
発表された事実
- 早稲田大学は2026年11月9日、個人情報を管理するITシステムに第三者が不正アクセスし、約3,400件のユーザー情報が取得されたと発表した（早稲田大学（英語版）、ITmedia NEWS）。
- PHPの脆弱性への対応で学内システムのセキュリティ状況を確認する中で、2026年8月31日の不正アクセスの痕跡を見つけ、調査範囲を広げて侵入と情報の取得を確認した（早稲田大学）。
- 侵入されたのは、メールなどを提供するポータル「MyWaseda」へのログインに使うユーザー情報を管理するシステム（同）。
- 取得されたのは計3,342件。教職員（退職者含む）・学生・卒業生等の情報81件（氏名と身分、メールアドレス、暗号化したパスワードの組み合わせが個別に取得）と、職員等のユーザー情報3,261件（教職員番号、氏名、Wasedaメールアドレス、所属部署、身分、暗号化したパスワードの6項目が一体）（同）。
- 件数は人数ではない。それ以外の情報の取得は確認していないが、可能性を否定できず調査を続けている。入試志願者とオープンカレッジ受講生の情報への影響は確認されていない（同）。
- 関係システムの停止、学外との通信の制限、システム管理者パスワードの変更などを行った。学生・教職員にはメールのパスワード変更などを個別に案内し、卒業生向けのMyWasedaなどWaseda IDを使うサービスは一時停止している（同）。
わかっていないこと
- 侵入経路と、点検のきっかけになったPHPの脆弱性との関係。
- 8月31日以外にも不正アクセスがあったか。
- パスワードの「暗号化」の方式（復号できる形式か、ハッシュか）。
- 卒業生向けサービスの再開時期。
関係しそうな既知の手口
- （考察）発覚が侵入から2か月以上後で、別の脆弱性対応の点検で見つかった。ログイン用の情報を握る基盤は、侵入されると全サービスのアカウント乗っ取りにつながるため、平時の監視で気づけなかった点が課題になる。
概要
- 大学は、監視と検知、初動対応、情報共有の手順を含めて対応体制を見直すとしている（早稲田大学）。
- 卒業生向けには、Wasedaメールや証明書発行サービスも安全確認まで止めている（同）。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-08-31 | MyWasedaのユーザー情報管理システムに不正アクセス（後の調査で判明） | 早稲田大学 |
| 時期非公表 | PHPの脆弱性への対応で学内システムを点検中に痕跡を発見 | 同 |
| 2026-11-09 | 公表 | 同、ITmedia NEWS |
発表内容の整理
事実（早稲田大学の発表による）
| 項目 | 内容 |
|---|---|
| 対象システム | MyWasedaのログイン用ユーザー情報を管理するシステム |
| 取得件数 | 計3,342件（人数ではない） |
| (1) 81件 | 教職員・学生・卒業生等：氏名と身分（38件）、氏名・身分・メール（23件）、氏名と暗号化したパスワード（20件） |
| (2) 3,261件 | 職員等：教職員番号、氏名、Wasedaメール、所属部署、身分、暗号化したパスワード |
| 影響未確認 | 入試志願者、オープンカレッジ受講生 |
| 対応 | システム停止、学外通信の制限、管理者パスワード変更、卒業生向けサービスの一時停止 |
出典：早稲田大学「Notice Regarding a Personal Information Breach Caused by Unauthorized Access」（2026-11-09）
考察
- 職員等3,261件はメールアドレスと暗号化したパスワードがひもづいた形で取得されている。パスワードが復元されれば大学メールへの不正ログインに使え、学内外へのなりすましメールの起点になりうる。学生・教職員にパスワード変更を求めたのはこのためだろう。
- 「暗号化」という表現からは、復号できる形式かハッシュかは判断できない。
関係しそうな既知の手口
事実
- 大学は侵入経路を調査中としている。発覚のきっかけはPHPの脆弱性への対応だが、その脆弱性が侵入に使われたかは書かれていない（早稲田大学）。
考察
- 認証基盤に近いシステムがWebアプリとして外部から届く場所にあると、PHPなどの実行環境の脆弱性がそのまま認証情報の流出につながる。点検のきっかけになった脆弱性の特定は続報で確認したい。
利用者・運用者がいまできること
- 学生・教職員：大学の案内に従ってWasedaメールのパスワードを変え、多要素認証を設定する。同じパスワードを他のサービスで使っていれば、そちらも変える。大学を名乗るID・パスワード入力を求める連絡に注意する。
- 運用者：ログイン用のユーザー情報を管理するシステムを外部から直接届かない場所に置き、パスワードは復号できない方式（ソルト付きの低速ハッシュ）で保存する。