大阪大学で7万7,851人の個人情報漏えい、NEC委託業務のクラウドストレージから第三者が取得―未報告の協力会社も関与|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月21日更新日時: 2026年10月21日

大阪大学は2026年10月21日、全学教育用電子計算機システムの運用を委託している日本電気株式会社（NEC）に関連し、卒業生、在学生、教職員の計77,851人分の個人情報が第三者に漏えいしたと発表しました。9月26日に個人情報を含むファイルが第三者によってダウンロードされ、10月9日にNECから大学へ報告があったとしています。

調査では、大学に報告されていない協力会社が業務に関与していたことに加え、NECが大学との契約に基づかず、当該協力会社との情報共有のために個人情報を含むファイルをクラウドストレージに保管・共有していたことが判明しました。業務終了後に削除すべきファイルも残されていました。大阪大学の教育用システム自体への不正アクセスの痕跡は確認されていません。

大阪大学の個人情報漏えいのサマリー

公表日：2026年10月21日
漏えい対象者：77,851人（重複除外後）
内訳：卒業生59,014人、在学生15,035人、教職員3,802人
主な情報：氏名、大阪大学個人ID、大学が付与したメールアドレス、学籍番号または職員番号、所属情報
2026年9月26日、第三者が個人情報を含むファイルをダウンロード
10月9日、全学教育用電子計算機システムの運用委託先であるNECが大学に報告
大学に報告されていない協力会社が業務の一部に関与
NECが大学との契約に基づかず、クラウドストレージで個人情報を含むファイルを共有し、業務終了後も保管
NECの調査では、大学の全学教育用電子計算機システムに関連する不正アクセスの痕跡は未確認
10月21日公表時点で、本件に起因する不正利用や二次被害は確認されていない

項目	2026年10月21日の公表内容
公表組織	大阪大学
運用委託先	日本電気株式会社（NEC）
対象となる委託業務	全学教育用電子計算機システムの運用
情報がダウンロードされた日	2026年9月26日
大学がNECから報告を受けた日	2026年10月9日
漏えい対象者	77,851人（卒業生・在学生・教職員、重複を除く）
漏えいした主な情報	氏名、大学個人ID、大学発行メールアドレス、学籍番号または職員番号、所属情報
情報が置かれていた場所	NECが協力会社との共有に使っていたクラウドストレージ
委託管理上の問題	未報告の協力会社の関与、契約に基づかない共有、業務終了後のファイル保持
大学の教育用システムへの不正アクセス	関連する痕跡は確認されていない
大学の対応	対象者への個別通知を予定。NECに原因究明・再発防止を要求

卒業生5万9,014人など計7万7,851人が対象

大阪大学が明らかにした漏えい対象者数は、同一人物の重複を除いて77,851人です。卒業生が59,014人と最も多く、在学生15,035人、教職員3,802人が含まれます。

漏えいした情報の種類は対象者ごとに異なり、氏名、大阪大学個人ID、大学が発行したメールアドレス（OUMailアカウント等）、学籍番号または職員番号、所属情報などが挙げられています。大学は、各対象者の具体的な漏えい情報について今後個別に通知するとしています。

これらは大学との関係性や所属を把握する手がかりとなり得る情報です。特に卒業生の情報も含まれるため、現在大学に在籍していない人も対象となります。一方、全対象者について同一の情報項目が漏えいしたという意味ではありません。

NECからの報告は10月9日、第三者のダウンロードは9月26日

発表によると、第三者が大学の個人情報を含むファイルをダウンロードしたのは9月26日です。その後、大学は10月9日にNECから報告を受け、10月21日に公表しました。

今回の情報漏えいは、大学の教育用システムそのものから情報が直接取得されたという説明ではありません。NECが委託業務に関連してクラウドストレージ上で共有・保持していたファイルが取得された事案です。NECによる調査でも、大学の全学教育用電子計算機システムに対し、本件に関連すると判断される不正アクセスの痕跡は確認されていません。

未報告の協力会社が関与、契約外の共有と削除漏れを確認

大阪大学は、調査で明らかになった委託管理上の問題として、大学に報告されていない協力会社が業務の一部に関わっていたことを挙げています。

さらに、NECがその協力会社と作業情報を共有するため、大学との契約に基づかず個人情報を含むファイルをクラウドストレージに置いていたこと、作業終了後に削除するべきファイルを保持していたことが判明しました。大学は、こうした共有・保管が行われた結果として大学関係者の個人情報が漏えいしたと説明しています。

大学側はこれらを重大な問題と認識し、NECに対して事案の収束に向けた対応、原因究明、再発防止策の徹底を求めています。

NECが10月20日に公表した委託先へのサイバー攻撃と関連

NECは10月20日、システム開発・保守の委託先が9月下旬にサイバー攻撃を受け、窃取された正規アカウントの認証情報を悪用された結果、複数の顧客でシステム障害や情報漏えいが発生したと発表しました。顧客システムへの不正アクセスによるファイル暗号化のほか、顧客・NEC・委託先などが共有していたクラウドストレージから個人情報やシステム関連情報を含むファイルが漏えいしたとしています。

大阪大学は今回の発表でNECの10月20日付資料を関連情報として案内しています。ただし、NECが説明した複数の顧客における被害すべてが大阪大学で発生したわけではありません。大学の公表では、教育用システムへの不正アクセスの痕跡は確認されていません。NECが公表した顧客システムの暗号化被害と、今回の大学関係者の情報漏えいは、被害内容を区別する必要があります。

NECの委託先を起点とする全体像については、NECの委託先にサイバー攻撃、顧客システムが停止し個人情報も漏えいで報じています。本件はその関連事案で判明した影響先の一つであり、別個の攻撃が大阪大学に発生したと数えるものではありません。

大学がなりすましメールへの注意を呼びかけ

大阪大学は10月21日の公表時点で、流出した情報の不正利用や本件に起因する二次被害は確認されていないとしています。一方、大学との関係やメールアドレスなどを悪用したフィッシングメール、なりすましメールへの警戒を呼びかけています。

対象者は、大学の事務連絡やアカウント確認を装うメールを受け取った際、記載されたリンクから認証情報を入力する前に、大学が案内する正規の窓口や公式サイトで確認することが推奨されます。大阪大学は漏えいした情報項目について今後個別に通知するとしています。

大学・企業が委託先の情報管理で確認したい事項

今回の事案で課題となったのは、委託先のアクセス経路だけでなく、委託業務で受け渡した個人情報の共有先と保存期間の管理です。大学や企業の情報システム部門では、委託契約と実際の運用に食い違いがないかを確認する必要があります。

具体的には、委託先が利用する協力会社・再委託先の一覧と承認状況、個人情報を含むファイルのクラウドストレージへの持ち出し・共有条件、外部共有権限、業務終了後の削除確認、第三者による一括ダウンロードを検知する監査ログが点検対象になります。データの削除完了を契約上の義務とするだけでなく、削除証跡や保存先の棚卸しを通じて確認する運用も考えられます。