同志社大学、筆記試験対策ポータルにランサムウェア学生のメールアドレス流出の可能性|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月20日更新日時: 2026年08月20日

同志社大学キャリアセンターは2026年8月19日、学生向けに提供している「筆記試験対策ポータル」でランサムウェアによる不正アクセスが発生し、同サービスを停止していると公表しました。

不正アクセスが確認されたのは4月19日です。当該サーバーには、利用登録時に学生が入力した同志社大学発行のメールアドレスが保存されており、大学は情報が流出した可能性を完全には否定できないとしています。

一方、インターネット上で対象情報が公開された事実は確認されていません。リリースには7月27日12時時点でも公開されていなかったと記載されています。対象人数や侵入経路、ランサムウェアの種類、攻撃者については同志社大学の公表では明らかにされていません。

同志社大学のランサムウェア事案のサマリー

【確認済み】同志社大学キャリアセンターは2026年8月19日、「筆記試験対策ポータル」でランサムウェアによる不正アクセスが発生したと公表しました。
【確認済み】不正アクセスが確認されたのは2026年4月19日で、同ポータルは現在サービスを停止しています。
【確認済み】影響を受けた可能性がある情報は、利用登録時に学生自身が入力した同志社大学発行のメールアドレスです。
【確認済み】すでに卒業・修了した利用者については、当時の大学発行メールアドレスは無効化され、現在は利用できない状態とされています。
【確認済み】大学は、保存されていたメールアドレスが流出した可能性を完全には否定できないとしています。
【確認済み】大学は、インターネット上で対象情報が公開された事実は確認しておらず、7月27日12時時点でも公開されていなかったと説明しています。
【確認済み】専門業者と連携し、影響範囲の調査とインターネット上の監視を継続しています。
【確認できず】対象となる学生・卒業生の人数は公表されていません。
【確認できず】同志社大学のリリースでは、初期侵入経路、ランサムウェアの種類、攻撃者、身代金要求の有無は公表されていません。
【確認できず】同志社大学として個人情報保護委員会や警察へ報告したかは、今回のリリースから確認できませんでした。
【関連情報】同志社大学の2026年度キャリアガイドでは、筆記試験対策ポータルを「SMART SPI」と案内しています。SMART SPIの開発元である株式会社ノストラムは4月19日にVPN経由でランサムウェアが侵入し、学習支援サービスが停止したと5月8日に公表しています。ただし、同志社大学の8月19日リリース自体は運用事業者名を明記していません。

項目	内容
公表日	2026年8月19日
発生日・確認日	2026年4月19日
対象組織	同志社大学キャリアセンター
対象サービス	筆記試験対策ポータル
インシデント	ランサムウェアによる不正アクセス、システム障害
サービスへの影響	サービス停止
影響の可能性がある情報	利用登録時に学生が入力した同志社大学発行メールアドレス
対象件数	確認できませんでした
情報流出	流出した可能性を完全には否定できない状況
公開確認	インターネット上での公開は確認されていません。リリースでは7月27日12時時点でも未公開と記載
侵入経路	同志社大学の公表では確認できませんでした
ランサムウェア種別・攻撃者	確認できませんでした
対応状況	専門業者と影響範囲を調査、インターネット上を監視、利用再開と再発防止に向け対応
個人情報保護委員会への報告	同志社大学としての報告有無は確認できませんでした

何が起きたのか　4月19日にランサムウェアによる不正アクセス

同志社大学によると、2026年4月19日、キャリアセンターが提供する「筆記試験対策ポータル」を運用するサーバーに対し、ランサムウェアによる不正アクセスが確認されました。

システム障害が発生したため、同ポータルは現在もサービスを停止しています。大学は専門業者と連携し、影響範囲の調査やインターネット上の監視を継続するとともに、関係部署と利用再開、再発防止に向けた対応を進めています。

サービス再開時期は決まっておらず、決定後に在学生へ案内するとしています。

同志社大学の今回の公表では、攻撃者がどのようにサーバーへ侵入したのか、どのランサムウェアが使用されたのか、ファイル暗号化の範囲、身代金要求の有無などは明らかにされていません。

学生の大学発行メールアドレスが流出した可能性　対象人数は未公表

影響を受けた可能性がある情報として同志社大学が挙げているのは、筆記試験対策ポータルの利用登録時に学生自身が入力した「大学発行メールアドレス」です。

対象人数は公表されていません。

すでに卒業・修了している利用者については、在学時に使用していた同志社大学発行のメールアドレスは無効化され、現在利用できない状態と説明されています。

現時点で重要なのは、大学が「情報流出を確認した」としているわけではない点です。公表では、メールアドレスが保存されたサーバーがランサムウェアによる不正アクセスを受けたことから、「流出した可能性を完全には否定できない」としています。

一方、リリースでは対象情報がインターネット上で公開された事実は確認されておらず、7月27日12時時点でも公開されていなかったとしています。

したがって、本件について「学生のメールアドレスが漏洩した」と断定するのではなく、「流出した可能性がある」と表現する必要があります。

4月の不正アクセスを8月19日に公表　調査と公開情報の監視を継続

不正アクセスが確認された4月19日から、同志社大学キャリアセンターが今回のリリースを更新した8月19日までは約4か月あります。

ただし、大学はこの期間の詳細な調査経緯や、いつ情報流出の可能性を認識したのかについては明らかにしていません。

また、8月19日付のリリースでは「現時点において、これらの情報がインターネット上に公開された事実は確認されておりません」と説明したうえで、「7月27日12時時点では公開されておりません」と記載しています。

8月19日まで継続的に同一条件で確認した結果なのか、7月27日が最新の具体的な監視確認日時なのかは、公表文からは判別できません。

大学は現在も専門業者と連携し、影響範囲の調査とインターネット上の監視を継続するとしています。

筆記試験対策ポータルは「SMART SPI」　開発元ノストラムも4月19日のランサムウェアを公表

同志社大学が公開している2026年度のキャリアガイドでは、オンラインで利用できる支援サービスとして「SMART SPI（筆記試験対策ポータル）」を案内しています。

SMART SPIは株式会社ノストラムが開発・提供している就職・転職向けの筆記試験対策サービスです。同社は公式サイトでも、SMART SPIを自社オリジナルのWebアプリケーションとして紹介しています。

ノストラムは2026年5月8日、自社サーバーがランサムウェア攻撃を受け、学習支援サービスが停止したと公表しました。

同社の発表では、4月19日午前5時頃、VPN経由でネットワークにランサムウェアが侵入し、サーバー内の一部データが暗号化され、サーバーが起動できない状態になったとしています。

発生日とサービスの種類は同志社大学の今回の公表内容と一致します。

ただし、同志社大学の8月19日のリリースには「ノストラム」という運用事業者名や「SMART SPI」というサービス名は記載されていません。このため、VPN経由という侵入経路を同志社大学の事案として直接確認された事実として扱うことはできません。

記事上は、同志社大学が利用していた筆記試験対策ポータルがSMART SPIであること、SMART SPIの開発元ノストラムが同日のランサムウェア被害を公表していることを「関連する一次情報」として整理するのが適切です。

福岡大学もSMART SPIの情報流出可能性を公表

SMART SPIを巡っては、福岡大学も2026年7月9日、運営を委託していた株式会社ノストラムのサーバーへの不正アクセスにより、学生情報が外部に流出した可能性があると公表しています。

福岡大学の発表では、4月19日に委託先サーバーが停止し、調査の結果、4月17日に外部の攻撃者がネットワークへ侵入してファイルを暗号化し、バックドアを構築していたことが判明したとしています。

福岡大学で漏洩の可能性があるとされた情報は、学籍番号、生年月日、氏名、模擬試験などの受験結果で、最大3万3,668人が対象となる可能性があるとされました。

これは同志社大学が今回公表した「大学発行メールアドレス」とは情報項目も対象範囲も異なります。福岡大学で公表された件数を同志社大学の影響件数として扱うことはできません。

セキュリティ対策Labでは、福岡大学の事案について福岡大学の就活対策サイト「SMART SPI」に不正アクセス、運営先ノストラムのランサムウェア被害で個人情報漏洩の恐れで詳しく取り上げています。

想定される二次被害　大学を装うフィッシングや標的型メールに注意

同志社大学は、現時点で利用者に直ちに必要な対応はないとしています。

その一方で、本件に関連して不審なメールなどを受信した場合は、開封やリンクのクリックを控えるよう呼びかけています。

大学発行メールアドレスが第三者に取得されていた場合、今後想定されるリスクとして、同志社大学やキャリアセンター、就職支援サービス、企業の採用担当者などを装ったフィッシングメールや標的型メールへの悪用が考えられます。

ただし、同志社大学は今回の公表で、こうした二次被害が実際に確認されたとはしていません。

在学生や卒業生は、就職活動、OB・OG関連、大学アカウント、Microsoft 365などの認証を促すメールを受信した場合、メール本文のリンクから直接ログインせず、大学公式サイトや正規のサービス画面から確認することが重要です。

情報システム部門への示唆

今回の事案は、大学が直接管理する基幹システムだけでなく、学生支援のために利用する外部Webサービスにも個人情報が保存されていることを改めて示しています。

情報システム部門や委託元部門では、外部サービスごとに「どの情報を預けているか」「何人分を保存しているか」「保存期間はいつまでか」を把握し、インシデント発生時に速やかに影響範囲を特定できる状態にしておく必要があります。

特に今回、卒業・修了後に無効となったメールアドレスもサーバーに保存されていたことが公表されています。アカウント自体が利用不能であっても、個人にひも付く識別情報を不要に長期間保持すれば、インシデント発生時の調査・通知範囲は広がります。

委託先との契約では、インシデント発生から委託元への通知までの期限、フォレンジック調査への協力、ログ保存期間、再委託先の管理、個人情報保護委員会など関係機関への報告分担まで明確にすることが重要です。

また、ランサムウェア対策では、バックアップやEDRだけでなく、VPNなど外部公開されたリモートアクセス経路の認証強化、多要素認証、脆弱性管理、特権アカウントの監視を委託先も含めて確認する必要があります。

本件では、同志社大学のリリースだけでは侵入経路は確認できません。一方、SMART SPIの開発元ノストラムは自社事案についてVPN経由の侵入を公表しています。委託サービスを利用する組織は、自社ネットワークの対策だけでなく、SaaS・外部Webサービス事業者のリモートアクセス管理もサプライチェーンリスクの一部として評価する必要があります。