日本大学法学部、教職員のメールアカウントへ不正アクセス-個人情報閲覧の可能性

日本大学法学部は2026年8月25日、教職員1名のメールアカウントがフィッシング攻撃によって第三者に不正利用され、学内外へ3,177件の不審メールが送信されたと公表しました。

事案は8月3日15時30分頃に発生し、8月7日17時50分頃に検知されました。教職員がフィッシングメールのリンクをクリックしたことでアカウント情報を窃取され、第三者が正規の認証情報を使ってメールアカウントへ不正アクセスしたとしています。

当該端末にウイルス感染の形跡は確認されていません。一方、不正アクセスした第三者がメールボックス内の全ての内容を閲覧できる状態にあったため、保存されていた個人情報が取得された可能性を完全には否定できないとしています。

日本大学法学部は個人情報保護委員会、文部科学省などの監督官庁へ報告済みです。8月25日時点で情報の不正利用や金銭的被害の報告は確認されていません。

日本大学法学部のメールアカウント乗っ取りのサマリー

• 確認済み：日本大学法学部は2026年8月25日、教職員1名のメールアカウントへの不正アクセスを公表しました。
• 確認済み：発生日時は2026年8月3日15時30分頃、検知日時は8月7日17時50分頃です。
• 確認済み：教職員がフィッシングメールのリンクをクリックし、アカウント情報を窃取されました。
• 確認済み：第三者は窃取した認証情報を使い、正規のルートを装ってメールアカウントへ不正アクセスしました。
• 確認済み：当該教職員の端末にウイルス感染の形跡は確認されていません。
• 確認済み：乗っ取られたアカウントから、連絡先に登録されていた学内外のメールアドレスへ3,177件の不審メールが送信されました。
• 確認済み：第三者はメールボックス内の全ての内容を閲覧可能な状態にあり、保存されていた個人情報が取得された可能性を完全には否定できないとしています。
• 未確認：個人情報が実際に取得・持ち出されたことを示す事実は公表されていません。
• 確認済み：8月25日時点で、本件に起因する情報の不正利用や金銭的被害の報告は確認されていません。
• 確認済み：判明後、アカウントを停止してパスワードを変更し、外部へのメール送信を遮断しました。
• 確認済み：個人情報保護委員会、文部科学省等の監督官庁へ報告済みです。
• 確認済み：再発防止策として、パスワード管理の厳格化、多要素認証（MFA）の導入推進、情報セキュリティ教育の再徹底を行います。
• 注意点：2026年には日本大学の別組織・別アカウントでも類似するメールアカウント不正利用事案が公表されていますが、今回と同一の攻撃者・同一の攻撃キャンペーンであるとの情報は確認されていません。

項目	内容
公表日	2026年8月25日
発生日	2026年8月3日15時30分頃
検知日時	2026年8月7日17時50分頃
対象組織	日本大学法学部
対象アカウント	教職員1名
インシデント	メールアカウントの乗っ取り、不審メール送信
侵入経路	フィッシングメール
原因	フィッシングリンク経由で認証情報を窃取され、正規認証情報を悪用された
不審メール送信件数	3,177件
端末のウイルス感染	痕跡は確認されず
個人情報	メールボックス内の個人情報が取得された可能性を完全には否定できず
個人情報の実取得	確認されていません
二次被害	8月25日時点で情報の不正利用・金銭的被害の報告なし
対応	アカウント停止、パスワード変更、外部メール送信遮断
個人情報保護委員会への報告	実施済み
文部科学省等への報告	実施済み
再発防止	パスワード管理厳格化、MFA導入推進、セキュリティ教育再徹底

8月3日にフィッシング、検知は8月7日

日本大学法学部によると、事案が発生したのは8月3日15時30分頃です。対象となった教職員がフィッシングメール内のリンクをクリックし、アカウント情報を窃取されました。

その後、第三者が窃取した認証情報を利用して当該メールアカウントへ不正アクセスしました。大学側が事案を検知したのは8月7日17時50分頃で、発生から検知まで約4日2時間が経過しています。

ただし、この間ずっと不正アクセスが継続していたことや、攻撃者が継続的にメールボックスを閲覧していたことが確認されたわけではありません。

検知後、日本大学法学部は当該アカウントを直ちに停止し、パスワードを変更するとともに、外部へのメール送信を遮断しました。

3,177件の不審メールを学内外へ送信

不正ログイン後、乗っ取られた教職員アカウントから、連絡先に登録されていた学内外のメールアドレスへ不審メールが送信されました。

日本大学法学部が確認した送信件数は3,177件です。

実在する大学教職員の正規メールアカウントが悪用されているため、受信者側では送信元アドレスや表示名だけで不審メールを判別しにくい可能性があります。

大学は、差出人が日本大学の教職員名であっても、心当たりのないメールでは本文中のURLをクリックしたり、添付ファイルを開いたりせず削除するよう呼びかけています。

原因はフィッシングによる認証情報窃取

日本大学法学部は原因について、「巧妙に偽装されたフィッシングメールによるアカウント乗っ取り」と説明しています。

対象教職員の端末については、ウイルス感染の形跡は確認されていません。

今回はマルウェアによって端末そのものを侵害したことが確認された事案ではなく、フィッシングによって取得した認証情報を使い、正規のログイン経路からアカウントへアクセスされたものです。

大学側は「正規のルートを装った不正アクセス」と説明しています。

メールボックス内の個人情報、取得された可能性を否定できず

今回の事案では、不審メール送信だけでなく、メールボックス内に保存されていた個人情報への影響も確認対象となっています。

日本大学法学部によると、不正アクセスした第三者はメールボックス内の全ての内容を閲覧可能な状態にありました。このため、メールボックスに保存されていた個人情報について「取得された可能性を完全には否定できない」としています。

ただし、個人情報が実際に閲覧された、ダウンロードされた、外部へ持ち出されたことを示す事実は今回の公表では確認されていません。したがって、「個人情報の流出が確認された」と断定することはできません。

対象となり得る個人情報の人数や項目についても公表されていません。

対象者全員の特定が困難、公表を本人通知に代える

日本大学法学部は、本件判明後、個人情報保護委員会、文部科学省などの監督官庁へ速やかに報告したとしています。

一方、メールボックス内に保存された情報量が膨大で、影響を受ける可能性がある全ての人を特定して個別に連絡することは困難だと説明しています。そのため、法令に基づき、8月25日の公式公表をもって対象者へのおわびと報告に代えるとしています。

影響人数を特定できていないため、「3,177人の個人情報が影響を受けた」と解釈することもできません。3,177件は、乗っ取られたアカウントから送信された不審メールの件数です。

8月25日時点で金銭被害や情報の不正利用は確認されず

日本大学法学部は8月25日時点で、本件に起因する情報の不正利用や金銭的被害の報告は確認されていないとしています。

一方、今後は大学教職員を装った「なりすましメール」が送られる二次被害のおそれがあるとして注意を呼びかけています。

メールアカウントの乗っ取りでは、攻撃者が既存の連絡先や過去のやり取りを利用し、より信頼性の高いフィッシングメールを作成する可能性があります。

ただし、今回の事案で実際に過去メールを利用した標的型攻撃やBEC、不正送金などが発生したことは確認されていません。現時点では、これらは今後想定されるリスクとして扱う必要があります。

MFA導入推進とパスワード管理厳格化へ

日本大学法学部は再発防止策として、パスワード管理の厳格化、多要素認証（MFA）の導入推進、情報セキュリティ教育の再徹底を挙げています。

特に今回のようにIDとパスワードがフィッシングによって窃取された場合、パスワードだけで認証が完了する構成では、攻撃者が正規ユーザーと同様にログインできる可能性があります。

MFAを適用することで、パスワードが窃取された場合でも、それだけでログインを成立させにくくできます。

一方、MFA導入だけで対策を完了させるのではなく、フィッシング耐性の高い認証方式や異常ログイン検知と組み合わせることが重要です。

日本大学では2026年に類似するメールアカウント侵害を複数公表

日本大学では2026年、今回とは別に複数のメールアカウント不正利用事案を公表しています。

3月6日には三軒茶屋キャンパスが、教職員1名のメールアカウントが実在するクラウドサービスを装ったフィッシングによって乗っ取られ、321件の不審メールが送信されたと公表しました。

この事案でも、対象端末にウイルス感染の形跡はなく、認証情報を窃取されて正規のルートから不正アクセスされていました。また、メールボックス内の個人情報が取得された可能性を完全には否定できないとしていました。

セキュリティ対策Labでは「日本大学三軒茶屋キャンパス、教職員アカウント乗っ取りで321件の迷惑メール送信」で整理しています。

さらに日本大学は7月6日、在学生・卒業生計9名のメールアカウントが第三者に不正利用され、計17,864件の不審メールが学内外へ送信されたと公表しています。

7月の事案では、何らかの手段でID・パスワードが窃取されたことが原因とみられるものの、具体的な窃取方法は特定していません。

セキュリティ対策Labでは「日本大学、在学生・卒業生9名のメールアカウントへ不正アクセス　1万7,864件の不審メールを送信」で取り上げています。

公表	対象	原因・経路	不審メール
2026年3月6日	三軒茶屋キャンパス教職員1名	クラウドサービスを装ったフィッシング	321件
2026年7月6日	在学生・卒業生9名	認証情報を何らかの手段で窃取	17,864件
2026年8月25日	法学部教職員1名	フィッシング	3,177件

これらは同じ日本大学で公表された類似事案ですが、同一の攻撃者、同一のフィッシングキャンペーン、共通するシステム上の脆弱性が原因であるとの情報は確認されていません。

件数を単純に合算して一つのインシデントとして扱うことも適切ではありません。

情報システム部門への示唆

今回の事案で重要なのは、フィッシングを入口とした「正規アカウントの悪用」です。

マルウェア感染がなくても、認証情報が窃取されれば、攻撃者は正規ユーザーとしてクラウドメールへログインできます。

情報システム部門では、MFA導入に加えて、普段と異なる国・地域や端末からのログイン、大量メール送信、短時間の連続認証、受信トレイ規則の不審な変更などを監視する必要があります。

特に今回、発生から検知まで約4日が経過しているため、メール大量送信の検知だけでなく、認証段階で異常を把握できる仕組みが重要です。

また、乗っ取られたメールアカウントは、単なるスパム送信元ではなく、組織内部や取引先から信頼される「正規の送信元」として悪用されます。

大学や研究機関では、教職員、学生、卒業生など利用者層が広く、アカウントのライフサイクルや認証方式が統一されていないケースがあります。組織単位でMFAの適用状況を可視化し、例外アカウントを減らしていくことが重要です。

出典

• 不正アクセスによる迷惑メール発信に関するおわびと御報告 – 日本大学法学部
• 不正アクセスによる迷惑メール発信に関するおわびと御報告 – 日本大学
• 不正アクセスによる迷惑メール発信に関するおわびと御報告 – 日本大学三軒茶屋キャンパス
• 日本大学、在学生・卒業生9名のメールアカウントへ不正アクセス 1万7,864件の不審メールを送信 – セキュリティ対策Lab
• 日本大学三軒茶屋キャンパス、教職員アカウント乗っ取りで321件の迷惑メール送信 – セキュリティ対策Lab