札幌国際大学、フィッシング被害の調査結果公表―不正アプリ登録やメール自動転送を確認、全学生・教職員の認証情報をリセット

札幌国際大学（北海道札幌市）は2026年10月14日、同年7月に発生したメールアカウントへの不正アクセスと、大学関係者を装ったフィッシングメールの大量送信について、フォレンジック調査の結果と対応完了を公表しました。

調査では、複数のアカウントの乗っ取りに加え、メールボックスへの不正アクセス、SharePoint・OneDriveへのフィッシング誘導用ファイルの設置、不正なアプリ・デバイス登録、メール自動転送設定などを確認しました。大学は不正な設定やファイルを除去し、全学生・教職員のパスワードをリセットして多要素認証（MFA）を必須化。システムの安全性を確認し、通常運用の再開を発表しています。

札幌国際大学の不正アクセス・調査結果のサマリー

• 発端：2026年7月9日17時30分ごろから、学生・教職員がフィッシングメールの誘導先でアカウント情報を入力。複数のメールアカウントが不正利用されました。
• 二次被害：乗っ取られた正規アカウントから、過去にメールをやり取りした相手を含む学内外へ大量の不審メールが送信されました。
• 10月14日の調査結果：一部メールボックスへの不正アクセス、ファイル設置、共有設定の変更などの痕跡を確認しました。
• アクセス維持のための設定：不正なアプリ登録、デバイス登録、メール自動転送設定などを確認し、排除しました。
• 対処：SharePoint・OneDrive等の不審ファイルを削除し、全学生・教職員のパスワードを一斉リセット。MFAを必須化しました。
• 再発防止：Microsoft 365の保護機能を強化し、パスキー認証の導入、監視・教育の継続に取り組むとしています。
• 個人情報：大学は10月14日時点で、個人情報の外部流出は確認されていないと説明しています。

7月9日にアカウントを乗っ取り、学内外へフィッシングメールを送信

大学の7月11日付第一報によると、学生・教職員がフィッシングメールに記載されたURLから偽サイトへ誘導され、アカウント情報を入力したことが発端です。第三者は取得した情報で複数の大学メールアカウントを不正利用し、過去のメール送信先などへ不審なメールを送りました。

当初確認されたメールには、Microsoft 365のファイル共有通知を装い、「HR Benefit Enrollment」といったファイル名や「Open」ボタンを使って不正サイトへ誘導するものがありました。大学は被害拡大防止のため一部授業を休講し、7月21日から再開しています。

7月の経緯と授業への影響は、札幌国際大学のフィッシング被害を伝えた第一報で整理しています。今回の10月14日付発表では、その後の専門調査で判明したクラウド環境内の不正操作と、実施済みの対策が新たに示されました。

フォレンジック調査で不正アプリ・デバイス登録、メール自動転送設定を確認

セキュリティ専門ベンダーによるアクセスログ解析などの結果、乗っ取られたアカウントでは一部メールボックスへの不正アクセスや、不審なファイルの設置、共有設定の変更が確認されました。

大学が特に明らかにしたのは、攻撃者がパスワード変更後もアクセスを維持できるように仕掛けていた、不正なアプリの登録、デバイスの登録、メール自動転送設定です。大学とシステム保守ベンダーは、これらの痕跡を特定して排除しました。

メールの自動転送設定が残れば、アカウントのパスワードを変更した後でも新着メールが第三者へ送信されるおそれがあります。アプリ連携や不審な登録デバイスも、アカウントの不正利用が継続していないかを確かめる際の調査対象です。ただし、大学は今回のアプリ登録の具体的な権限や、外部への転送が実際に成功した件数を公表していません。

個人情報の外部流出は確認されていないと大学は説明していますが、これはメールボックスへの不正アクセス自体がなかったことを意味しません。確認された閲覧・操作の痕跡と、外部への情報持ち出しの有無は分けて把握する必要があります。

SharePoint・OneDriveにはフィッシング誘導用の不審ファイルを設置

大学は、SharePointおよびOneDriveなどに設置された、フィッシングサイトへ利用者を誘導する不審ファイルを特定し、すべて削除したと報告しました。共有設定にも変更の痕跡があったとしています。

Microsoft 365では、メールに記載したURLだけでなく、クラウドファイル共有の通知を装って利用者を誘導する手口も考えられます。今回、大学が確認したのはフィッシング誘導用ファイルの設置です。この事実だけから、学生・教職員の端末にマルウェアが感染したと断定することはできません。

全学生・教職員のパスワードをリセット、MFAを必須化

大学は、被害が確認されたアカウントに限定せず、全学生・教職員を対象にパスワードを一斉リセットし、多要素認証を必須化しました。さらに、フィッシングに強い認証方式としてパスキーの導入も進めています。パスキーの仕組みと従来型MFAとの違いは、別記事で解説しています。

また、Microsoft 365を上位の保護機能を利用できるライセンスへ変更し、不審なアクセスなどを検知して遮断したり、追加認証を要求したりする仕組みを導入しました。具体的なライセンス名や設定内容は公表されていません。

大学は10月14日、専門ベンダーのフォレンジック調査と保守ベンダーによる不正な痕跡の除去、セキュリティ対策が完了し、システムの安全性を確認したとして通常運用の再開を発表しました。引き続き監視体制やパスワード運用を見直し、学生・教職員への教育を続ける方針です。

Microsoft 365のアカウント侵害後に情シスが確認したい項目

今回の事案では、フィッシングメールの送信停止だけでなく、アカウントへのアクセス維持を狙った不正設定の除去まで行われました。Microsoftも、侵害されたクラウドメールアカウントへの対応で、認証情報以外の設定を確認するよう案内しています。

• サインインとセッション：不審なログインの履歴、現在有効なセッションや認証トークンを確認し、必要に応じて失効させる。
• アプリ・認証方法：見覚えのないアプリへの同意、登録デバイス、追加された認証方法や権限を調べる。
• メール設定：外部転送、受信トレイルール、メールボックス委任などに不正な変更がないか確認する。
• クラウドファイル：SharePoint・OneDriveの不審なファイル、共有先、アクセス・ダウンロード履歴を調査する。
• 二次攻撃：なりすましメールの送信先を確認し、受信者への注意喚起や類似メールの調査を行う。

いずれも一般的なMicrosoft 365環境における確認項目であり、大学がこれらをすべて個別に実施したことを示すものではありません。企業・大学などの公表事例は、Microsoft 365への不正アクセス事例まとめでも比較できます。

今回の不審メールのように、正規アカウントから送信されるファイル共有通知を装ったメールは、受信者が差出人だけで判断しにくいケースがあります。教育・訓練では開封やクリックの有無だけでなく、不審な共有通知を報告できるか、報告後に同一メールを調査できるかまで確認する方法があります。標的型攻撃メール訓練の実施方法と評価指標でも整理しています。

出典

• 【重要】本学におけるフィッシングメール被害に関する調査結果および対応完了のご報告（2026年10月14日） – 札幌国際大学
• 【重要・お詫び】本学関係者を装った不審なメールの送信について（2026年7月11日） – 札幌国際大学
• 【重要】7/21（火）授業再開のお知らせ（2026年7月18日） – 札幌国際大学
• Respond to a compromised email account in Microsoft 365 – Microsoft Learn