TL;DR
- 01何が起きたか
NEC は 2026 年 10 月 20 日、システム開発・保守を委託している会社が 9 月下旬にサイバー攻撃を受け、盗まれた ID とパスワード（認証情報）で顧客のシステムに不正にアクセスされたと公表した。関係者でファイルを共有していたクラウドストレージからも、個人情報を含むファイルが漏えいした。翌日、大阪大学は 77,851 人分の漏えいを公表した。大阪公立大学は、10 月 2 日からのシステムの停止がこの攻撃によるものだったと公表した。
- 02なぜ見分けられないか
使われたのは正式に発行されたアカウントで、ファイルもふだん使う共有の場所にあった。外から見ると、いつもの作業と区別がつかない。大阪大学の公表によれば、大学に報告されていない協力会社が業務の一部に関わっていた。その協力会社との情報共有のため、契約に基づかずにファイルがクラウドストレージで共有され、作業の終了後に削除すべきファイルも保持されていた。
- 03欠けていた層
NEC が大阪大学にダウンロードを報告したのは、持ち出しの 13 日後だった。効かなかったのは、委託したデータが誰と共有されるかを、渡す前に照合する層である。
何が起きたか
- 委託の関係
- 大阪大学は全学教育用電子計算機システム（以下、学内システム）の運用を、大阪公立大学は基盤システムの保守・運用を NEC に委託している。NEC はシステム開発と保守の業務を別の会社（委託先）に委託していた。委託先の社名は公表されていない。
- 攻撃
- 委託先が 9 月下旬に攻撃を受け、盗まれた正規アカウントの認証情報が悪用された。顧客のシステムに委託先の端末から正規アカウントで不正にアクセスされ、サーバ内のファイルが暗号化された（NEC）。認証情報が盗まれた経路、アカウントの権限、多要素認証（パスワードのほかに確認コードなどを求める設定）の有無は公表されていない。
- 共有ストレージからの漏えい
- NEC が作成し、顧客と NEC、NEC と委託先などの間で情報共有に使っていたクラウドストレージ内のファイルが漏えいした。顧客の個人情報やシステム関連情報が含まれていた（NEC）。ダウンロードがどの経路で行われたかは公表されていない。
- 大阪大学（漏えいのみ）
- 2026 年 9 月 26 日、第三者が大学の個人情報を含むファイルをダウンロードした。大阪大学は、その後の調査で、大学に報告されていない協力会社が業務の一部に関与していたこと、その協力会社との情報共有のため、大学との契約に基づかずにファイルがクラウドストレージ上で共有されていたこと、作業終了後に削除すべきファイルも保持されていたことが確認されたとしている。NEC の調査では、学内システムへの不正アクセスの痕跡は確認されていない。
- 大阪大学で漏えいした情報
- 77,851 人（重複を除く。卒業生 59,014 名、在学生 15,035 名、教職員 3,802 名）。氏名、大阪大学個人 ID、大学が付与するメールアドレス、学籍番号または職員番号、所属など。人によって項目は異なる。不正利用や二次被害は確認されていない（大阪大学）。
- 大阪公立大学（暗号化と漏えい）
- 10 月 2 日に情報基盤システムが止まった。原因は、再委託先が持つ正規のアカウントで大学のシステムに不正にアクセスされたことだった。クラウドストレージにあった大学に関する個人情報とシステム関連情報の漏えいも報告を受けたが、内容と件数は NEC に確認中としている（大阪公立大学）。
- NEC の公表
- 協力会社の関与や共有の経緯についての記述は無い。被害を受けた顧客の数は「複数」としている（報道では 3 社、うち 2 社で個人情報の漏えい）。
用語メモ
委託先 — NEC がシステム開発や保守の業務を委託している会社。9 月下旬に攻撃を受けた。大阪公立大学は「再委託先」と呼ぶ。社名は公表されていない。
協力会社 — 大阪大学が「本学に報告されていない」と書く会社。大阪大学によれば、この会社との情報共有のためにファイルが共有されていた。攻撃を受けた委託先と同じ会社かは、公表されていない。
クラウドストレージ — インターネット上にファイルを置き、関係者と共有する保管場所。置いたファイルは、共有された人なら誰でも読める。
止めどころは ①。共有の場所に置く前に、相手が大学との契約で認められた会社かを照合していれば、ファイルは協力会社との共有に乗らなかった（持ち出しの経路は非公表）。
契約に基づかない共有だったと大阪大学が公表。
大阪大学の公表。
大阪大学のファイルは 09-26。
10-02 に停止。
時系列 — 公表と対応
- 9 月下旬、NEC の委託先が攻撃を受ける（NEC）。
- 第三者が大阪大学の個人情報を含むファイルをダウンロードする（大阪大学）。
- 未明、大阪公立大学の保守の委託会社がサーバの停止を確認し、大学に連絡する。大学は文部科学省と警察などに報告する（大阪公立大学の会見資料）。
- 大阪公立大学が記者会見を開き、個人情報保護委員会に連絡する。
- NEC が大阪大学に、ファイルがダウンロードされていたことを報告する。
- NEC が公表する。同じ日、NEC は大阪公立大学に停止の原因を報告する。
- 大阪大学と大阪公立大学（第 5 報）が公表する。
事実は NEC、大阪大学、大阪公立大学の公表（いずれも一次）に拠る。協力会社の関与と共有の経緯は大阪大学の公表にだけあり、NEC の公表文はこれに触れていない。協力会社と、攻撃を受けた委託先が同じ会社かは、どの公表にも書かれていない。大阪公立大学が 10 月 5 日に漏えいの可能性があるとした教務システム関連の約 13 万件などは、大学の仮想化基盤のもので、NEC のクラウドストレージにあった情報とは別だと同大学は書いている。顧客の数は報道に拠る。
公表後の対応
- NEC: 委託先に NEC が管理する端末を貸与するなどの対策を進め、委託先の管理と個人情報の管理を強めるとした。漏えいした個人情報の詳細は、判明しだい顧客に報告する。
- 大阪大学: 対象者に漏えいした項目を今後個別に知らせるとし、フィッシングメールやなりすましメールへの注意を呼びかけた。NEC に原因の究明と再発防止策の徹底を求めるとした。
- 大阪公立大学: NEC と連携して情報を集め、必要な対応をとるとした。
なぜ止まらなかったか
この事案の失敗は、委託先の認証情報が盗まれたことだけではない。委託した大学の側から、データが誰と共有され、いつ消されるかを照合できる仕組みが無かった。
委託したデータが誰と共有され、いつ消されるかを、委託した側が渡す前に照合する仕組みは無かった。
ここでいう証明は、ファイルを置く前に「この相手に渡してよい」ことを照合し、記録に残すこと。検出は、持ち出しや暗号化が起きた後に気づくこと。
すでに持ち出された
検出は働いたが、分かったのは持ち出しの後だった。共有の場所にファイルを置くことはできても、その相手が大学のデータを扱ってよいかは誰も照合しておらず、置けたので共有され、作業が終わっても消されなかった。この隔たりが検出と証明の落差であり、構造的な欠落である。
同じ構造は、阿波銀行のテスト環境（使い終わったはずの環境に顧客データが残っていた）にも現れている。
対策するには
預けたデータを誰と共有し、どこに置いてよいかを、データの持ち主の側で決め、共有の前に照合する。契約書に再委託の承認を書くだけでは、実際に誰がデータに触れるかまでは縛れない。共有の場所にファイルを置くたびに、相手が登録した会社の一覧に載っているかを照合し、載っていなければ置かせない。作業が終われば消し、消したことを記録に残す。
注意したい業界・業務
- 業界自治体・公共
- 大学や自治体など、システムの運用を IT ベンダーに委託している組織。委託した側からは、その先の再委託まで見えず、データが何社に渡っているかを把握しにくい。
- 業界調達・サプライチェーン
- 開発や保守を協力会社に任せる IT ベンダー。顧客ごとのデータが、作業のために共有の場所に集まる。
- 業務照会・参照
- 委託先や協力会社がデータを受け取り、作業の後に消す業務。共有と削除が、受託した側の運用だけで決まる。
いまの対策で埋まるか
| 対策 | 今回 | 理由 |
|---|---|---|
| 契約での再委託の承認 | 効かない | 大学に報告されていない協力会社が業務に関わっていた（大阪大学）。 |
| 作業後のデータ削除のルール | 効かない | 削除すべきファイルが残っていた（大阪大学）。 |
| 委託先の端末の管理 | 一部 | NEC は委託先に自社管理の端末を貸与する。委託先の端末から入られる経路は狭まるが、誰とどのファイルを共有するかは変わらない。 |
| 侵入の検知 | 一部 | 気づくのは暗号化や持ち出しの後である。 |
- データごとに、扱ってよい会社を持ち主の側で決める。契約で認めた委託先と再委託先を、大学など持ち主の側で一覧にして登録する。受託した会社の申告だけに頼らない。
- 共有の場所に置く前に照合する。共有する相手が一覧に載っているかを照合し、載っていなければ共有させない。ファイルに作業の終わりの日を持たせ、過ぎたら消す。
- 誰と共有し、いつ消したかを残す。受託した会社の報告とは別に、後から第三者に示せる形、つまり証明として残す。
システムの運用の委託について、組織で確かめる 3 項目
- 委託先が再委託するとき、事前に知らせが届き、承認する手順があるか。
- 委託先がファイルのやり取りに使う共有の場所に、自社の個人情報が置かれていないか。置かれているなら、誰が見られるかを聞いているか。
- 作業が終わったデータを委託先が消したことを、記録で示してもらえるか。
注：登録した一覧そのものが誤っていれば、誤った共有も通る。また、認められた委託先の正規アカウントが乗っ取られれば、一覧の中の相手に渡したデータは読まれる。認証情報が盗まれた経路と、ダウンロードの経路はまだ公表されていない。続報で判明すれば、この Brief を改訂する。
Sources
- 一次・当事者の公表NEC「委託先への不正アクセスに起因するお客さまのシステム障害、情報漏えいに関するお詫び」
- 一次・当事者の公表大阪大学「委託事業者における個人情報漏えいについて」
- 一次・当事者の公表大阪公立大学「本学情報基盤システムにおける障害の発生について【第5報】委託先公表のサイバー攻撃事案に伴うシステム障害・情報漏洩について」
- 一次・記者会見配付資料大阪公立大学「記者会見配付資料」
報道・解析 2 件
- 報道日本経済新聞「NEC、システム開発の委託先にサイバー攻撃 顧客3社の情報漏洩」
- 報道@IT「「まさかそこから」大阪公立大のランサム被害、NEC委託先への攻撃が発端と判明：正規アカウント盗まれる」