事案の概要データ
| 公表日 | 2026年10月21日 |
|---|---|
| ダウンロードされた日 | 2026年9月26日 |
| 大学への報告 | 2026年10月9日 |
| 流出 | 重複を除き77,851人（卒業生59,014名・在学生15,035名・教職員3,802名） |
| 対象 | 全学教育用電子計算機システム |
| 経緯 | NECが協力会社と共有・保持していたクラウド上のファイルを第三者がダウンロード |
| 調査で確認されたこと | 未報告の協力会社の関与、契約に基づかない共有、作業終了後の削除漏れ |
| 大学側のシステム | 教育用システム自体への関連不正アクセスの痕跡は未確認 |
| 注意 | NECや大阪公立大学の件数とは合算しない |
図解：この事故の構造
何が起きたのか
大阪大学は2026年10月21日、全学教育用電子計算機システムに関連して、重複を除き77,851人分の情報が流出したことを公表しました。内訳は卒業生59,014名、在学生15,035名、教職員3,802名です。
経緯は、委託先であるNECが協力会社と共有・保持していたクラウド上のファイルを、2026年9月26日に第三者がダウンロードしたというものです。大学が報告を受けたのは10月9日でした。
大学の教育用システム自体への関連する不正アクセスの痕跡は確認されていません。
3つの問題が重なっていた
この事案で特筆すべきは、調査によって確認された内容です。公表では、次の3つが明示されています。
1つ目は「未報告の協力会社の関与」。大学が把握していない会社が、業務に関わっていました。
2つ目は「契約に基づかない共有」。契約で定められていない形で、データが共有されていました。
3つ目は「作業終了後の削除漏れ」。業務が終わった後も、データが消されずに残っていました。
どれか1つでも守られていれば、被害は小さくなっていた可能性があります。3つすべてが重なった結果、3年以上前に卒業した人の情報まで流出しました。
「再委託の連鎖」をどう管理するか
大学 ← NEC ← 協力会社、という構造です。大学から見れば2つ先の会社でデータが扱われていました。
しかも、その協力会社の関与は大学に報告されていませんでした。つまり、大学は「自分のデータが誰の手元にあるか」を正確に把握できていなかったことになります。
これは発注する側にとって現実的な課題です。大規模なシステム開発や運用では、再委託が当たり前に行われます。すべてを把握するのは簡単ではありません。
それでもできることはあります。(1)契約書に「再委託には事前承諾を要する」と明記する、(2)実際に再委託先の一覧の提出を求める、(3)業務終了時にデータ削除の完了報告を受け取る、の3点です。
特に(3)は、2024年のイセトーの事案でも問題になりました。「契約上は削除することになっていたのに残っていた」というケースは繰り返されています。
卒業生のデータが最も多い
流出の内訳で最も多いのは、卒業生の59,014名です。在学生15,035名の約4倍にあたります。
大学は、同窓会名簿や寄付の管理のために、卒業後も個人情報を保持し続けます。年数が経つほど、その蓄積は増えていきます。
そして卒業生は、事故が起きたときに連絡を取ることが最も難しい相手でもあります。住所も連絡先も変わっている可能性が高いためです。
2026年10月5日の大阪公立大学（教職員・学生・卒業生 少なくとも13万人分）、2026年2月の東海大学（最大約19.3万人分）でも、同じ構造が見られました。
保存期間を決めて削除する——教育機関に限らず、長く事業を続けている組織すべてに当てはまる対策です。
時系列で見る経過
- 2026年9月26日NECが協力会社と共有・保持していたクラウド上のファイルを、第三者がダウンロード
- 2026年10月9日NECから大阪大学へ報告
- 2026年10月20日NECが委託先への攻撃について公表
- 2026年10月21日大阪大学が、重複を除き77,851人分の流出を公表。未報告の協力会社の関与、契約に基づかない共有、作業終了後の削除漏れを確認
中小企業が学ぶべきポイント
- 契約書に「再委託には事前承諾を要する」と明記し、再委託先の一覧の提出を求める。
- 業務終了時に、データ削除の完了報告を書面で受け取る。
- 「自分のデータが誰の手元にあるか」を把握する。把握できていなければ守れない。
- 卒業生・退職者・過去の顧客のデータに保存期間を設け、期限が来たら削除する。
- 自社のシステムが無傷でも、預けた先で流出すれば説明責任は自社にある。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。