大阪公立大、約17万人分の個人情報流出を確認　NEC管理のクラウドから

大阪公立大学は11月13日、情報基盤システムへのサイバー攻撃を調査した結果、学生や教職員ら約17万人分の個人情報が、保守・運用を委託するNECの管理するクラウドストレージから流出したと発表した。大学は、確認済みのこの流出と、大学の情報システムからも個人情報が持ち出された可能性を区別している。後者については、現時点で明確な事実は確認されていない。

流出した情報には、利用者ID、氏名、メールアドレス、生年月日などが含まれる。大学の第6報によると、この約17万人のうち約1400人分には、銀行口座番号、健康関連情報、パスポートの画像や旅券番号など、機密性の高い情報も含まれていた。約1400人は約17万人とは別に加算される人数ではない。

大学が公表した調査結果では、まずNECの再委託先の端末が不正アクセスを受けた。その端末とNEC管理のクラウドから情報が持ち出された形跡があり、直後には、業務で使われていた正規のアカウントとパスワードを使って大学のシステムにも不正に侵入していた。管理者の認証情報も使われたという。専門の調査会社は、二つの侵入が同一の攻撃者によるものと判断するのが妥当だと報告した。ただし、攻撃者の身元は公表されていない。

10月2日に発生した攻撃では、大学の情報基盤システムが大規模な障害に見舞われ、多くのシステムが暗号化された。大学は、学内システムからの個人情報流出を示す明確な証拠は見つかっていない一方、流出の可能性を完全には否定できないとしている。NEC管理の保管領域からの流出は確認済みだが、学内システムからの追加流出は未確認というのが、現時点の調査結果だ。

大学は、2021年度のシステム移行時に使われたデータが、作業完了後もNEC管理のクラウドに長期間残され、多くの関係者が利用する環境に置かれていたことを重大な問題と指摘した。機密性の高い情報の多くが、この古い移行データに含まれていたという。終了した業務のデータを保管し続けたことが、今回の被害を広げる一因となった。

NECは対象者と情報の種類を引き続き調べている。大学は、該当者を特定でき次第、個別に説明と謝罪を行うとしており、卒業生や保護者向けの相談窓口も設けた。不審な電話やなりすましメールへの注意も呼びかけている。自分の情報が対象かどうか、何が流出したかについては、大学からの個別連絡と公式発表を確認する必要がある。