日本大学文理学部、学生ポータル改ざんの最終報告を公表-既知脆弱性を悪用されるも個人情報漏えいは確認されず

日本大学文理学部は2026年6月4日、同学部の情報掲示板サイト、学生ポータルシステムへの不正アクセスおよびウェブサイト改ざんに関する調査結果と対応について、最終報告を公表しました。

同学部は2026年3月12日付で、学生および教職員が利用する情報掲示板サイトにおいて第三者による不正アクセスが確認され、不適切な外部サイトが表示されるよう改ざんされていたと公表していました。

今回、外部専門機関による詳細調査が完了し、当該システムに存在した既知の脆弱性を悪用した不正アクセスが行われていたことが判明しました。攻撃者により、システム内へ不正なプログラムが設置され、不適切な外部サイトへ誘導される改ざんが発生していたとしています。

一方で、個人データの保管場所への不正アクセスや、個人情報を含むファイルの外部転送の痕跡は確認されませんでした。同学部は、これらの調査結果を踏まえ、学生および教職員の個人情報漏えいは発生していないものと判断しています。この記事のサマリー

• 日本大学文理学部が、学生ポータルシステムへの不正アクセスと改ざん事案の最終報告を公表しました。
• 対象は、学生および教職員が利用する情報掲示板サイトです。
• 外部専門機関の調査により、既知の脆弱性を悪用した不正アクセスが判明しました。
• 攻撃者により不正なプログラムが設置され、不適切な外部サイトへ誘導される改ざんが発生しました。
• アクセス時にカジノサイトを模した不正な画面が表示される事象が確認されています。
• 利用者端末へのマルウェア感染などの二次被害報告は確認されていません。
• 個人データ保管場所への不正アクセスや、個人情報を含むファイルの外部転送の痕跡は確認されませんでした。
• 同学部は、学生および教職員の個人情報漏えいは発生していないと判断しています。
• 原因は、既知脆弱性への対応不足に加え、アクセス制御やアカウント管理の不備が重なったこととされています。

何が起きたか

日本大学文理学部の情報掲示板サイトにおいて、第三者による不正アクセスが発生しました。

外部専門機関による調査の結果、当該システムに存在した既知の脆弱性が悪用され、システム内に不正なプログラムが設置されていたことが判明しました。

その結果、利用者が情報掲示板サイトへアクセスした際、不適切な外部サイトへ誘導される改ざんが発生しました。最終報告では、カジノサイトを模した不正な画面が表示される事象が確認されたと説明されています。

事象の発覚後、同学部は直ちに当該システムをネットワークから遮断し、被害拡大を防止しました。その後、安全対策を施した新たなサーバー環境を構築し、安全を確認したうえでサービスを再開しています。

経緯

今回の事案について、日本大学文理学部は2026年3月12日に初報を公表し、その後、外部専門機関によるフォレンジック調査を進めていました。

初報では、2026年1月10日22時20分に事象が発生し、2026年1月27日17時34分に検知したと説明されていました。今回の最終報告では、専門機関の調査により、令和6年9月1日12時13分より、当該システムに存在した既知の脆弱性を悪用した不正アクセスが行われていたことが判明したとされています。

最終報告では、初報時点では調査中だった原因や個人情報漏えいの有無について、詳細な調査結果が示されています。

被害状況

日本大学文理学部は、当該システムへのアクセス時に、カジノサイトを模した不正な画面が表示される事象が発生したことを確認しています。

これは、システム内に設置された不正なプログラムにより、利用者を不適切な外部サイトへ誘導する改ざんが行われていたためです。

一方で、利用者端末へのマルウェア感染などの二次的被害については、現時点で報告は確認されていません。

個人情報漏えいに関する調査結果

今回の最終報告で最も重要な点は、個人情報漏えいについての調査結果です。

同学部は、外部専門機関によるログ解析に加え、システム構築ベンダーおよび同学部において、調査結果を包括的に精査したとしています。

調査対象は、ポータルシステム単体にとどまりません。同一ネットワーク内にあるデータベース、周辺サーバー群、仮想化基盤、VPNなどのアクセスログについても網羅的に調査を行ったと説明しています。

その結果、以下は確認されませんでした。

一部、個人情報を含まないシステム設定情報が閲覧された可能性はあるとされています。ただし、その情報にはユーザーデータやデータベース接続情報は含まれていないと説明されています。

これらの調査結果を踏まえ、同学部は本件において学生および教職員の個人情報漏えいは発生していないものと判断しました。

原因

日本大学文理学部は、今回の不正アクセスの原因について、システムの一部における脆弱性への対応不足に加え、アクセス制御およびアカウント管理といった管理体制の不備が重なったことと説明しています。

教育機関のポータルサイトや情報掲示板は、学生、教職員、事務部門が日常的に利用するシステムです。外部公開される部分や認証前にアクセスできる機能が存在する場合、既知脆弱性の放置は改ざんや不正プログラム設置につながる可能性があります。

関係者が注意すべきこと

日本大学文理学部は、本件に関連して、同学関係者を名乗る不審な電話やメールが発生する可能性があるとして注意を呼びかけています。

学生、教職員、関係者は、少しでも不審な点がある場合、記載された連絡先への折り返し連絡、URLのクリック、添付ファイルの開封、パスワード等の入力を行わないよう注意が必要です。

個人情報漏えいは確認されていないとされていますが、ウェブサイト改ざん事案の公表に便乗したフィッシングやなりすまし連絡が発生する可能性はあります。公式サイトや学内の正規連絡経路で確認することが重要です。

教育機関が確認すべきポイント

今回の事案は、大学や学校が運用するポータルサイト、情報掲示板、学内システムに共通する課題を示しています。

教育機関では、複数の学部、研究室、事務部門、外部ベンダーが関与し、システムの管理権限や保守体制が分散しやすい傾向があります。古いWebアプリケーションやCMS、独自開発システム、外部公開サーバーが残っている場合、既知脆弱性が放置されるリスクがあります。

確認すべき項目は以下です。

出典

• 日本大学文理学部：本学ウェブサイト改ざんに関する調査結果と対応について（最終報告）

関連記事

Windows ゼロデ イ 脆弱性「MiniPlasma」-2020年に「修正済み」のCVE-2020-17103が実は未修正 審調社、ランサムウェアの被害で個人情報漏洩の恐れ ゼネラル、不正アクセスで情報流出の恐れ 東海大学、業務委託先サーバへの不正アクセスとランサムウェアによるサイバー攻撃で個人情報漏洩の恐れ コロンビア大学、不正アクセスによるサイバー攻撃で約87万人分の個人情報漏洩 東海大学、委託先のランサムウェアによるサイバー攻撃で最大19万3118人の個人情報漏洩の恐れ レインボーシックス シージ(Rainbow Six Siege)、2度目のサイバー攻撃で異常なBan報告も Meta AIアシスタントに「メールアドレスを変えて」と頼むだけで他人のInstagramを乗っ取れた エネルギー・水道インフラ向けスマートメーター大手 Itron、社内システムへの不正アクセス

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)