大阪大学7万7851人の情報漏えい委託経路と大学システムを分けて読む

資料で確認できること

9月26日に再委託先からファイルを取得、大学は10月9日に報告を受ける

大阪大学は、9月26日に第三者が再委託先から個人情報を含むファイルをダウンロードしたとNECから報告を受けたと説明しています。大学がNECから最初の報告を受けた日は10月9日で、公表は10月21日です。

NECは10月20日、委託先企業が9月下旬にサイバー攻撃を受け、窃取された正規アカウントの認証情報を悪用されたと公表しました。事象の発生日、大学への報告日、NECと大学の公表日を分ける必要があります。

• 資料 01大阪大学：本学が保有する個人情報の漏えいについて
• 資料 02日本電気株式会社（NEC）：当社委託先企業へのサイバー攻撃に関するお知らせ

資料で確認できること

卒業生5万9014人、在学生1万5035人、教職員3802人

大学が示した対象は、卒業生5万9014人、在学生1万5035人、教職員3802人で、重複を除く合計は7万7851人です。対象項目は人によって異なり、主な項目として氏名、大阪大学個人ID、大学メールアドレス、学籍番号・職員番号、所属が挙げられています。

7万7851という数字は重複を除いた対象者数であり、すべての人について列挙された全項目がそろって漏えいしたという意味ではありません。大学は対象者へ個別に、該当する情報項目を知らせるとしています。

• 資料 01大阪大学：本学が保有する個人情報の漏えいについて

資料で確認できること

大学の教育用計算機システムへの侵入痕跡と二次被害は確認されず

大阪大学は、NECの調査で、本件に関連して教育用計算機システムへ不正アクセスされた痕跡は確認されていないとしています。また、公表時点で漏えい情報の不正利用や二次被害は確認されていないと説明しています。

これは公表時点の調査結果です。漏えい自体がなかったという意味ではなく、今後の不正利用が起きないことを保証するものでもありません。大学はフィッシングメールやなりすまし連絡への注意を呼びかけています。

• 資料 01大阪大学：本学が保有する個人情報の漏えいについて

当事者の説明

大学に報告されていない再委託先へ共有し、削除すべきファイルが残存

大阪大学は、NECが大学へ報告していない再委託先を業務に関与させていたと説明しています。NECは大学との契約に沿わない形で個人情報ファイルをクラウドストレージに共有し、本来削除すべきファイルを保有し続けていたとされています。

大学は、未報告の再委託、契約に沿わない共有、削除されるべき情報の残存を重大な事態と受け止め、NECに原因究明、解決、再発防止を求めています。

• 資料 01大阪大学：本学が保有する個人情報の漏えいについて

当事者の説明

NECは委託先で正規アカウントが悪用され、共有ストレージから漏えいと説明

NECの公表によると、システム開発・保守を委託していた企業がサイバー攻撃を受け、窃取された正規アカウントの認証情報が悪用されました。顧客システムへアクセスされ、ファイルが暗号化されて一部システムが利用不能になったとしています。

顧客、NEC、委託先が共有していたクラウドストレージ上のファイルも外部へ流出し、顧客の個人情報やシステム情報が含まれていたと説明しています。NECは複数の顧客へ個別に連絡し、委託先管理と個人情報管理を強化するとしています。

• 資料 02日本電気株式会社（NEC）：当社委託先企業へのサイバー攻撃に関するお知らせ

未確認の点

未報告の再委託に至った経緯、保有理由、全体の攻撃経路は未確認

10月22日の確認時点で、大学に報告されないまま再委託先が関与した詳しい経緯、削除すべきファイルが残っていた理由、個人ごとの最終的な漏えい項目、攻撃者の全行動、流出情報の保有・共有状況は公表資料では確定していません。

NECの公表は複数顧客への影響を示していますが、大阪大学以外の全顧客名や対象範囲、大学の事案とNEC全体の事案の完全な対応関係も公開ページだけでは判断できません。

• 資料 01大阪大学：本学が保有する個人情報の漏えいについて
• 資料 02日本電気株式会社（NEC）：当社委託先企業へのサイバー攻撃に関するお知らせ

確認の範囲

このコラムの確認範囲

本稿は2026年10月22日に取得した大阪大学の10月21日付発表とNECの10月20日付発表を照合したものです。JBJは大阪大学、NEC、再委託先、対象者、関係機関、攻撃者への直接取材や、契約書、システム、ログ、流出情報の独立調査を行っていません。掲載画像は委託経路と記録を照合する姿勢を表す説明用イメージで、大学やNECの実際の学生・卒業生・教職員・設備・画面・資料・被害記録ではありません。

• 資料 01大阪大学：本学が保有する個人情報の漏えいについて
• 資料 02日本電気株式会社（NEC）：当社委託先企業へのサイバー攻撃に関するお知らせ

JBJの見解

7万7851人の漏えいと、大学システムへの侵入なしを混同しない

多数の卒業生・在学生・教職員の個人情報が漏えいしたことは重大です。未報告の再委託先への共有と、削除されるべきファイルの保有があったとの説明は、委託先管理と情報管理の責任を具体的に検証すべき事項です。

同時に、NECの調査では、この事案に関連する大阪大学の教育用計算機システムへの不正アクセスの痕跡は確認されていません。情報漏えいの確認と、大学システムへの侵入が確認されていないことは両立するため、どちらか一方だけで全体を説明できません。

JBJの見解

個別通知、対象項目、不審な連絡、アカウントの動きを保存する

対象となる可能性がある方は、大学から届く個別通知、記載された対象項目、公式発表のURLと確認日時、不審なメール・電話・ログイン通知を整理してください。個人ID、学籍番号・職員番号、認証情報をネット上へ公開しないでください。

大学やNECを名乗る連絡が来ても、本文のリンクや記載された電話番号をそのまま使わず、大学公式サイトで確認できる窓口から照合します。入力や送金をしてしまった場合は、関係サービス、金融機関、大学、警察などの公式窓口へ早めに相談してください。

• 資料 01大阪大学：本学が保有する個人情報の漏えいについて

JBJの見解

委託先管理の責任を問うことと、学生・教職員を責めないことを両立する

大学の説明どおりであれば、NECには、未報告の再委託と契約に沿わない共有・保有がなぜ起きたのか、委託先をどう管理していたのか、対象者へどのような保護と説明を行うのかを具体的に示す責任があります。大学にも、委託元として確認と監督を続け、対象者へ分かりやすく案内することが求められます。

漏えいした情報の本人である卒業生・在学生・教職員に責任を負わせたり、大学の全システムが侵入されたと断定したりする根拠はありません。JBJは組織への正当な批判を弱めず、確認された責任と、資料にない断定・無関係な人への攻撃を区別します。