日本大学理工学部、教職員メールをフィッシングで乗っ取られる　学内外50件へ不審メール、個人情報漏洩の恐れ

日本大学理工学部は2026年9月8日、教職員1名のメールアカウントが外部からのフィッシング攻撃によって第三者に不正利用され、学内外のメールアドレスへ不審メールが送信されたと公表しました。

事案が発生したのは8月7日23時40分ごろで、大学側が検知したのは8月19日20時20分ごろです。大学の調査では、教職員が巧妙に偽装されたフィッシングメールのリンクをクリックし、アカウント情報を窃取されたことが原因と特定されています。

不正ログイン後、当該教職員の連絡先に登録されていた学内外のメールアドレス50件へ不審メールが送信されました。公式発表は「宛先数50件」としており、不審メールの総送信通数を50通と公表しているわけではありません。

また、不正アクセス中は第三者がメールボックス内の全内容を閲覧できる状態にあり、保存されていた個人情報を取得された可能性を大学は完全には否定できないとしています。9月8日時点で、情報の不正利用や金銭的被害は確認されていません。

日本大学理工学部のメールアカウント不正アクセスのサマリー

確認できている内容：

• 日本大学理工学部は2026年9月8日、教職員1名のメールアカウントへの不正アクセスを公表しました。
• 発生日時は2026年8月7日23時40分ごろです。
• 大学側の検知日時は8月19日20時20分ごろです。
• 原因は、教職員が巧妙に偽装されたフィッシングメールのリンクをクリックし、認証情報を窃取されたことです。
• 攻撃者は正規の認証情報を使ってメールアカウントへ不正ログインしました。
• 当該教職員の連絡先に登録されていた学内外のメールアドレス50件へ不審メールが送信されました。
• 教職員の端末にウイルス感染の形跡は確認されていません。
• 不正アクセス中、第三者はメールボックス内の全内容を閲覧可能な状態でした。
• 大学は、メールボックス内に保存されていた個人情報を取得された可能性を完全には否定できないとしています。
• 情報量が膨大で、影響を受けた全対象者の特定と個別連絡が困難なため、公表を本人通知に代えています。
• 日本大学理工学部は個人情報保護委員会、文部科学省などの監督官庁へ報告済みです。
• 検知後、対象アカウントの利用停止、パスワード変更、外部メール送信の遮断を実施しました。
• 9月8日時点で、情報の不正利用や金銭的被害は確認されていません。
• 再発防止策として、パスワード管理の厳格化、多要素認証の導入推進、情報セキュリティ教育の再徹底を挙げています。

現時点で公表されていない内容：

• 取得された可能性がある個人情報の人数
• 個人情報の具体的な項目
• 実際に閲覧・取得されたメールの件数
• 攻撃者の身元
• フィッシングメールの具体的な偽装先
• 不審メールの総送信通数
• 認証情報窃取後に利用された不正アクセス元
• 多要素認証が当該アカウントに設定されていたか

項目	内容
公表日	2026年9月8日
対象組織	日本大学理工学部
対象アカウント	教職員1名のメールアカウント
発生日時	2026年8月7日23時40分ごろ
検知日時	2026年8月19日20時20分ごろ
原因	フィッシングによる認証情報窃取
不審メール	学内外のメールアドレス50件へ送信
端末のマルウェア感染	確認されず
個人情報	メールボックス内の情報を取得された可能性を完全には否定できず
対象人数	特定困難、公表されていません
二次被害	9月8日時点で情報の不正利用・金銭的被害は確認されず
対応	アカウント停止、パスワード変更、外部メール送信遮断
個人情報保護委員会	報告済み
文部科学省等	報告済み
再発防止	パスワード管理厳格化、MFA導入推進、教育再徹底

8月7日にフィッシングで認証情報を窃取、検知は8月19日

日本大学理工学部によると、事案の発生日時は8月7日23時40分ごろです。

当該教職員が巧妙に偽装されたフィッシングメールのリンクをクリックし、メールアカウントの認証情報を窃取されました。

大学側が不正利用を検知したのは8月19日20時20分ごろです。発生日時から検知まで約12日あります。

ただし、この期間中ずっと攻撃者が継続してメールボックスへアクセスしていたとまでは公式発表から確認できません。

確認できるのは、

• 8月7日にフィッシングによる認証情報窃取が発生した
• 8月19日に大学側が不正利用を検知した
• 不正ログイン後に不審メールが送信された
• メールボックス内の全内容を第三者が閲覧可能な状態になっていた

という点です。

検知後、大学は直ちに対象アカウントの利用を停止し、パスワードを変更して、外部へのメール送信を遮断しました。

不審メールの送信先は学内外50件

不正ログイン後、攻撃者は当該教職員のメールアカウントを利用し、連絡先に登録されていた学内外のメールアドレスへ不審メールを送信しました。

日本大学理工学部が公表しているのは「送信された不審メールの宛先数：50件」です。

このため、

「50通の不審メールが送信された」

と断定するのは正確ではありません。

1つの宛先に複数通送信されたかなど、メールの総送信通数は公式発表では明らかにされていません。

大学は、不審メールを受信した可能性がある利用者に対し、差出人が日本大学教職員の名前であっても、心当たりがない場合は本文中のURLをクリックしたり添付ファイルを開いたりせず、削除するよう呼びかけています。

メールボックス内の全内容を第三者が閲覧できる状態

今回の事案では、迷惑メールの送信だけでなく、メールボックス内の情報への影響も確認対象になっています。

日本大学理工学部は、

「第三者がメールボックス内の全ての内容を閲覧可能な状態にあった」

と説明しています。

そのため、当該教職員のメールボックスに保存されていた個人情報を第三者に取得された可能性を完全には否定できないとしています。

一方で、

• 実際にどのメールが閲覧されたか
• どの情報が取得されたか
• 何人分の個人情報が対象となったか

は特定されていません。

したがって、現時点では「メールボックス内の個人情報がすべて漏えいした」「全メールが攻撃者にダウンロードされた」と断定できる状態ではありません。

大学が公表しているのは、第三者が閲覧できる状態にあり、個人情報取得の可能性を排除できないという内容です。

対象者の特定が困難なため公表を本人通知に代える

今回の公表で特徴的なのは、個人情報の影響対象者を個別に特定できない点です。

日本大学理工学部は、メールボックス内の情報が膨大であり、

• 対象となる全ての人物の特定
• 対象者への個別連絡

が困難な状況と説明しています。

そのため、法令に基づき、今回のWebサイト上での公表を本人への通知に代えています。

大学は本件判明後、個人情報保護委員会と文部科学省などの監督官庁へ報告済みです。

9月8日時点で、本件に起因する情報の不正利用や金銭的被害は確認されていません。

ただし、大学は今後、日本大学教職員を装ったなりすましメールが届く二次被害の可能性を挙げています。

端末へのマルウェア感染は確認されず

大学の調査では、対象教職員が利用していた端末にウイルス感染の形跡は確認されていません。

今回の原因として特定されているのは、フィッシングによる認証情報窃取です。

つまり、

1. 教職員がフィッシングメールを受信
2. メール内のリンクをクリック
3. アカウント情報を窃取される
4. 攻撃者が正規の認証情報を利用
5. メールアカウントへ不正ログイン
6. 不審メールを送信

という流れが公式調査で確認されています。

端末にマルウェアを感染させなくても、クラウドメールのID・パスワードを取得すれば、正規のログイン画面から不正アクセスできる場合があります。

この場合、EDRだけでは攻撃を検知できないことがあります。

認証ログやクラウドサービス側の監査ログを確認し、

• 通常と異なる国・地域からのログイン
• 未知の端末からのログイン
• 短時間での大量メール送信
• 普段利用しないIPアドレス
• ログイン後の転送設定変更

などを検知できる体制が必要になります。

日本大学では2026年に複数のメールアカウント侵害を公表

日本大学では2026年、他の学部・キャンパスでもメールアカウントの不正利用が公表されています。

三軒茶屋キャンパス

2026年3月、三軒茶屋キャンパスでは教職員1名のメールアカウントが実在するクラウドサービスを装ったフィッシングによって乗っ取られ、321件の不審メールが送信されました。

関連記事：日本大学三軒茶屋キャンパス、教職員アカウント乗っ取りで321件の迷惑メール送信

在学生・卒業生9名のアカウント

2026年7月には、在学生・卒業生計9名のメールアカウントが第三者に不正利用され、1万7,864件の不審メールが送信された事案も公表されています。

この事案では、認証情報が何らかの手段で窃取されたとみられるものの、具体的な窃取方法は特定されていません。

関連記事：日本大学、在学生・卒業生9名のメールアカウントへ不正アクセス　1万7,864件の不審メールを送信

法学部

2026年8月には、日本大学法学部でも教職員のメールアカウントへの不正アクセスが公表されています。

関連記事：日本大学法学部、教職員のメールアカウントへ不正アクセス　個人情報閲覧の可能性

これらは同じ日本大学で公表された類似事案ですが、同一の攻撃者、同一のフィッシングキャンペーン、共通するシステム上の脆弱性が原因であるとの情報は確認されていません。

別々の公表事案を一つのインシデントとして扱ったり、件数を単純に合算したりすることはできません。

多要素認証の導入を推進

日本大学理工学部は再発防止策として、

• パスワード管理の厳格化
• 多要素認証の導入推進
• 情報セキュリティ教育の再徹底

を挙げています。

今回の攻撃では、フィッシングによって認証情報が窃取されています。

多要素認証を導入すれば、ID・パスワードだけを取得した攻撃者による不正ログインを抑制できます。

一方、多要素認証も方式によってフィッシング耐性が異なります。

リアルタイム型フィッシングでは、パスワードとワンタイムコードを同時に窃取したり、認証済みセッションを奪ったりする攻撃もあります。

企業・大学でMFAを導入する際は、単に「二要素にしたか」だけではなく、

• パスキー
• FIDO2セキュリティキー
• 証明書ベース認証

など、フィッシング耐性の高い方式を優先できるかも確認対象になります。

情報システム部門への示唆

今回の事案では、マルウェア感染ではなく、フィッシングによって正規アカウントの認証情報が窃取されました。

企業の情報システム部門やSOCでは、次の項目を確認できます。

• メール・クラウドアカウントにMFAを必須化しているか
• MFA未設定の利用者を一覧化できるか
• フィッシング耐性のある認証方式を利用できるか
• 通常と異なる国・地域からのログインを検知できるか
• 未知の端末からのログインを検知できるか
• 短時間の大量メール送信を検知できるか
• 不正アクセス検知時に既存セッションを失効できるか
• パスワード変更だけでなくOAuthトークンやセッションを無効化できるか
• メール転送ルールや受信トレイルールの不正変更を確認できるか
• アカウント侵害時にメールボックス内の個人情報を調査できるログを保持しているか
• 影響対象者を特定できない場合の個人情報保護委員会・本人通知対応を法務部門と整理しているか
• フィッシング訓練だけでなく、実際に認証情報が窃取された場合の検知・封じ込め手順を用意しているか

特に今回のように、メールボックス内の情報量が膨大で全対象者を特定できない場合、インシデント対応の負荷は大きくなります。

日常的にメールへ個人情報を保存し続ける運用になっていないか、保存期間やアーカイブ方針を見直すことも、将来の影響範囲を抑える方法の一つです。

出典

• 不正アクセスによる迷惑メール発信に関するおわびと御報告 – 日本大学理工学部