事案の概要データ
| 公表日 | 2026年10月5日 |
|---|---|
| 被害 | サーバ約500台が停止 |
| 対象 | 教職員・学生・卒業生 少なくとも13万人分 |
| 原因 | ランサムウェアとみられる攻撃（侵入口は非公表） |
| 流出の有無 | 調査中 |
図解：この事故の構造
何が起きたのか
大阪公立大学は2026年10月5日、ランサムウェアとみられる攻撃を受け、サーバ約500台が停止したことを公表しました。教職員、学生、卒業生 少なくとも13万人分の個人情報が流出したおそれがあるとされています。侵入口は公表されていません。
「約500台」という規模は、国内のランサムウェア事案の中でも大きい部類です。
なぜ大学はサーバが多いのか
一般的な企業であれば、サーバは数台から数十台です。大学で500台規模になるのは、組織の構造によるものです。
大学には、学務システムや事務システムといった全学共通のものに加えて、研究室ごと、学部ごとに独自のサーバが立てられています。研究データの解析用、実験装置の制御用、研究室のWebサイト用——これらは各教員が必要に応じて設置するため、情報基盤センターが全体を把握しきれていないことがあります。
管理されていないサーバは、OSの更新もセキュリティ対策もされないまま何年も動き続けます。攻撃者にとっては格好の入口です。
この構図は、企業における「部門が勝手に導入したシステム」（シャドーIT）と同じです。中小企業でも、営業部が独自に契約したクラウドサービス、工場に置かれた古いパソコン——把握していないものは守れません。
卒業生のデータという問題
対象に卒業生が含まれている点も重要です。大学は、同窓会名簿や寄付の管理のために、卒業後も個人情報を保持し続けます。10年前、20年前の卒業生のデータが残っていることも珍しくありません。
2026年2月の東海大学（委託先のランサムウェアで最大約19.3万人分）でも、学生・教職員・保護者が対象でした。教育機関は、長年にわたって蓄積された膨大な個人情報を抱えているという共通の課題を持っています。
保存期間を決めて削除する——これは企業でも大学でも同じです。持っているデータが少ないほど、事故のときの被害は小さくなります。
時系列で見る経過
- 2026年10月ランサムウェアとみられる攻撃を受ける
- 2026年10月サーバ約500台が停止。システムを遮断し調査を開始
- 2026年10月5日少なくとも13万人分の個人情報が流出したおそれがあると公表
- 2026年10月5日以降外部専門機関とともに調査・復旧を継続
中小企業が学ぶべきポイント
- 組織内にあるサーバ・パソコンの一覧を作る。把握していないものは守れない。
- 部門が独自に導入したシステム（シャドーIT）を洗い出し、管理下に置く。
- 卒業生・退職者・過去の顧客のデータに保存期間を設け、期限が来たら削除する。
- ネットワークを分ける。1台の感染が500台に広がらない構造にする。
- バックアップはネットワークから切り離して保管する。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。