東京都立大学、フィッシングメール起点のGoogleアカウントへ不正アクセスの被害で個人情報漏洩の恐れ|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年01月09日更新日時: 2026年01月09日

東京都公立大学法人は2026年1月7日、東京都立大学経営学研究科の教員が個人で取得したGoogleアカウントに不正アクセスを受け、学内イベントの申込者情報などの個人情報が外部へ流出した可能性があると発表しました。

同法人によりますと、影響を受けたのは同大学経済経営学部・経営学研究科が主催したイベントの申込・アンケート情報や、当該教員が過去に送受信したメールの内容などです。現時点では、個人情報が実際に流出した、あるいはそれに伴う被害が発生したといった報告は確認されていないとしています。

海外研究者を装ったフィッシングメールが発端

事故の発端は2025年12月2日です。海外の研究者のアカウントを装ったフィッシングメールを当該教員が受信し、その誘導に従って個人で取得したGoogleアカウントの情報を入力したことで、アカウント情報が窃取されました。

その後、2026年1月7日には、当該アカウントから複数の宛先に対し、ドキュメント共有を装ったフィッシングメールが送信されました。これを受信した関係者からの連絡により、大学側が不正アクセスを認知したということです。

第二報では、流出した可能性がある個人情報の範囲と件数が、より具体的に示されています。対象となるのは、合計423件（実数）の個人情報です。

経済経営学部・経営学研究科が主催した以下のイベントに関する申込者やアンケート回答者の情報が含まれます。

含まれる個人情報は、氏名、学修番号、所属、学年、メールアドレス、住所、電話番号、勤務先、職業、年代などで、イベントや対象者によって内容は異なります。

経営学研究科の2020年度から2027年度までの入試合格者や入学予定者向けプログラム参加者に関する情報が含まれています。一部はイベント情報と重複しており、実数としては249件です。

氏名、所属プログラム、勤務先、メールアドレス、住所などが含まれている可能性があります。

このほか、当該教員が過去に送受信したメールの情報（メールアドレス、本文、添付ファイルなど）も、外部に流出した可能性が否定できないとしています。

今回の事案は、大学や研究機関におけるセキュリティ教育の重要性を改めて浮き彫りにしました。研究者や教職員は、海外とのメールのやり取りやクラウドサービスを日常的に利用する機会が多く、フィッシング攻撃の標的になりやすい状況にあります。

たとえ個人で取得したアカウントであっても、業務に関連する情報を扱っている場合、不正アクセスが発生すれば組織全体に影響が及ぶおそれがあります。

対策として、IDやパスワードの適切な管理、多要素認証の利用に加え、フィッシングメールの見分け方など、基本的なセキュリティ教育を継続的に行うことが不可欠です。