教育ソフトウェア、休眠サーバーがランサムウェアの被害　自己採点システム利用者4,627件に閲覧された可能性

株式会社教育ソフトウェアは2026年8月17日、長期間使用していなかったレンタルサーバーが第三者から不正アクセスを受け、ランサムウェアによって暗号化されたと公表しました。

被害が発生したと推定される期間は4月30日から5月1日にかけてです。レンタルサーバーの提供会社からの情報提供を受けて確認したところ、休眠中だったサーバーにランサムウェアによる暗号化と第三者による不正アクセスの痕跡が見つかりました。

サーバーには、2016年までに提供していたWebサービス「自己採点システム」の利用者に関する情報などが保存されており、顧客情報、所属大学名、氏名、学籍番号の一部など4,627件について閲覧された可能性があります。

一方、外部調査機関による調査では情報が外部へ漏えいした事実は確認されておらず、8月17日時点で二次被害も確認されていません。侵入経路や悪用された脆弱性、ランサムウェアの種類、攻撃者については公表されていません。

教育ソフトウェアのランサムウェア被害のサマリー

• 【確認済み】教育ソフトウェアは2026年8月17日、休眠中のレンタルサーバーへの不正アクセスとランサムウェア被害を公表しました。
• 【確認済み】被害の推定期間は2026年4月30日から5月1日です。
• 【確認済み】レンタルサーバー提供会社からの情報提供を受けて事案を認識しました。
• 【確認済み】対象サーバーではランサムウェアによる暗号化と、第三者による不正アクセスの痕跡が確認されています。
• 【確認済み】過去に顧客・取引先と送受信したメールなどが閲覧された可能性があります。
• 【確認済み】2016年までに「自己採点システム」を利用した対象者について、顧客情報、所属大学名、氏名、学籍番号の一部など4,627件が影響対象となる可能性があります。
• 【確認済み】クレジットカード情報は同社が保有しておらず、本件による漏えい対象ではありません。
• 【確認済み】外部調査機関による調査では、情報漏えいの事実は確認されていません。
• 【確認済み】8月17日時点で二次被害は確認されていません。
• 【確認済み】対象サーバーは安全確認後に廃止されています。
• 【確認できず】侵入経路、悪用された脆弱性、ランサムウェアの種類、攻撃者・脅威アクターは公表されていません。
• 【確認できず】個人情報保護委員会への報告については、公表資料から確認できませんでした。

項目	内容
公表日	2026年8月17日
発生日・確認日	被害推定期間は2026年4月30日～5月1日。事案の認知日は公表されていません
対象組織	株式会社教育ソフトウェア
インシデント	休眠中のレンタルサーバーへの不正アクセス、ランサムウェアによる暗号化
対象システム	過去に利用していた休眠中のレンタルサーバー
侵入経路	確認できませんでした
漏えい・流出した情報	顧客情報、所属大学名、氏名、学籍番号の一部などについて閲覧された可能性
対象件数	4,627件
情報漏えい	外部調査では漏えいの事実を確認できず
クレジットカード情報	同社は保有しておらず対象外
二次被害	8月17日時点で確認されず
対応状況	ネットワーク遮断、外部調査、対象サーバー廃止、監視・更新管理強化
個人情報保護委員会への報告	確認できませんでした
警察への対応	今後、警察当局へ捜査協力を依頼するなどの対応を取ると説明

休眠中のレンタルサーバーでランサムウェア被害

教育ソフトウェアによると、今回被害を受けたのは現在の主要サービスで利用しているサーバーではなく、過去に使用していた「休眠中」のレンタルサーバーです。

レンタルサーバー提供会社からの情報提供を受けて確認したところ、ランサムウェアによる暗号化と第三者の不正アクセスの痕跡が見つかりました。

被害が発生したと推定される期間は2026年4月30日から5月1日にかけてです。

同社は発覚後、速やかにネットワークを遮断し、外部調査機関へ情報漏えいの有無を含む調査を依頼しました。調査後は運用の安全性を確認したうえで対象サーバーを廃止しています。通常業務への影響は限定的だったとしています。

4,627件の個人情報が閲覧された可能性

対象サーバーには、顧客や取引先と過去に送受信したメールなどが保管されていました。

また、2016年までに同サーバーを利用して提供していたWebサービス「自己採点システム」の対象者について、4,627件の情報が影響対象として確認されています。

公表された情報は以下です。

• 顧客情報
• 所属大学名
• 氏名
• 学籍番号の一部など

教育ソフトウェアは、これらの情報について第三者に閲覧された可能性があると説明しています。

一方で、外部調査機関による調査では「情報漏えいの事実は確認されていない」としています。

したがって、本件について「4,627件が漏えいした」と断定するのは適切ではありません。

確認されているのは、不正アクセスを受けたサーバーに4,627件の対象情報が存在し、閲覧された可能性があるという点です。

クレジットカード情報は対象外

教育ソフトウェアは、クレジットカード情報について同社では保有していないため、本件による漏えいはないと明記しています。

また、8月17日時点では本件に起因する二次被害も確認されていません。

同社は対象者に対し、不審なメールなどへの注意を呼びかけています。

氏名や大学名、学籍番号の一部などが第三者に取得されていた場合、大学や教育サービスを装ったフィッシングメール、本人確認を装った連絡などに悪用される可能性がありますが、こうした二次被害が実際に発生したことは確認されていません。

侵入経路やランサムウェアの種類は公表されず

8月17日の公表では、第三者による不正アクセスとランサムウェアによる暗号化が確認されています。

一方、次の技術的な詳細は公表されていません。

• 侵入経路
• 悪用された脆弱性
• サーバーのOSやソフトウェア
• ランサムウェアの種類・ファミリー
• IOC
• 攻撃者・ランサムウェアグループ
• 身代金要求の有無
• データ窃取を示す具体的な証跡

そのため、「未更新の脆弱性が悪用された」「特定のランサムウェアグループによる攻撃」と断定することはできません。

同社は再発防止策として「必要なセキュリティアップデートの定期的な監査」などを挙げていますが、これが今回の直接的な侵入原因だったとは説明していません。

なぜ「休眠サーバー」がリスクになるのか

今回の事案で情報システム部門が注目したいのは、攻撃対象が長期間使用していなかったサーバーだった点です。

利用頻度が下がったサーバーは、日常的な監視対象から外れたり、担当者が変わったりすることで、OSやミドルウェアの更新、脆弱性管理、アカウント棚卸しが十分に行われなくなる場合があります。

一方、インターネットから到達可能な状態が残っていれば、攻撃者から見れば現役システムと変わりません。

さらに、業務を終了したシステムでも過去の個人情報やメール、バックアップデータが残っていれば、侵害時の影響は現在稼働中のシステムと同様に発生します。

NIST Cybersecurity Frameworkの実装例でも、組織の攻撃対象領域を不必要に広げる冗長なシステム・ハードウェア・ソフトウェア・サービスを定期的に特定することや、廃止する機器の保存データを安全に消去することが示されています。

今回の教育ソフトウェアの事案は、システムを「使わなくなった」ことと「安全に廃止した」ことは別であると改めて示しています。

2016年までのサービス利用情報が2026年の侵害対象に

もう一つの重要なポイントが、対象データの保存期間です。

今回影響対象となった4,627件は、2016年までに当該サーバーを利用した自己採点システムの対象者に関する情報です。

教育ソフトウェアは、これらの情報が2026年まで保存されていた理由や、具体的な保存期限、削除ポリシーについては公表していません。

したがって、「不要な個人情報を10年間放置していた」と断定することはできません。

一方、システムを終了・休止するときには、そのシステム内に残る個人情報やログ、メール、バックアップについて、法令・契約・業務上の保存要件を確認し、必要性がなくなったデータは削除または安全に移管する必要があります。

サーバーを停止するだけでデータを残しておくと、将来そのサーバーが侵害された際に、過去の利用者まで影響対象になります。

教育ソフトウェアは教育機関向けシステムを展開

教育ソフトウェアは、デジタル採点、CBT・IBT、授業改善・教学マネジメント、BPO、入試採点支援、マークシート・OMR関連などの事業を展開しています。

同社によると、デジタル採点やオンライン試験支援など教育現場のIT化を進めており、ISMS（ISO/IEC 27001）の認証も取得しています。採点業務支援クラウドサービス・オンライン試験支援サービスの提供・運用保守についてはISMSクラウドセキュリティ認証も取得しています。

今回被害を受けたのは過去に使用していた休眠サーバーであり、現在提供している採点システムやオンライン試験サービスが侵害されたとの発表ではありません。

教育分野では個人情報を長期間扱うシステムの棚卸しが重要

教育機関や教育関連事業者では、氏名や学籍番号のほか、受験、採点、出欠、成績、アンケートなど、長期間にわたって個人と紐づくデータを扱うことがあります。

セキュリティ対策Labでは、学習塾を運営するCKCネットワークと学参がランサムウェア被害を受け、個人情報に影響が生じた事案も取り上げています。

学習塾運営のCKCネットワーク・学参がランサムウェア被害で個人情報漏洩の恐れ

CKCネットワーク・学参の事案はサーバー管理ソフトウェアの脆弱性悪用が原因として確認されており、今回の教育ソフトウェアとは侵入経路が異なる可能性があります。今回の侵入原因は未公表です。

共通するのは、教育関連サービスでは過去の利用者を含むデータが長期間蓄積される場合があり、侵害時に影響範囲が広がりやすい点です。

情報システム部門への示唆

今回の事案では、現在利用していない「休眠サーバー」がランサムウェアに感染しました。

情報システム部門では、稼働中のサーバーだけでなく、停止予定・移行済み・保守終了・検証用・旧システムなども含めた資産棚卸しが必要です。

特に確認したいのは以下です。

• インターネットから到達可能な旧サーバーが残っていないか
• 現在使っていないレンタルサーバーやVPSの契約が継続していないか
• OSやミドルウェアのサポート期限が切れていないか
• 脆弱性診断・パッチ管理・EDRなどの対象から外れていないか
• 管理者アカウントやSSH鍵など過去の認証情報が残っていないか
• 廃止予定サーバーに顧客情報やメール、ログ、バックアップが残っていないか
• システム終了時にデータ削除・移管まで含む廃止手順が定義されているか
• 資産台帳上で「休眠」「廃止予定」「廃止済み」を区別して管理できているか

NISTは2026年6月に公表した資産管理に関するプロジェクトでも、「組織は見えていない環境を防御できない」として、資産の発見、インベントリ、構成管理、変更管理を調達から廃止・処分までのライフサイクル全体で管理する重要性を示しています。これはOT向けプロジェクトですが、休眠資産を把握し、廃止まで追跡するという考え方はIT資産管理にも共通します。

現役システムのセキュリティ更新を徹底していても、過去のサーバーがインターネット上に残っていれば、そこが組織の攻撃面になります。

今回の事案は、サーバーを使わなくなった時点で終わりではなく、「ネットワークから切り離す」「データを処理する」「契約を終了する」「資産台帳から廃止を確認する」までを一つのライフサイクルとして管理する必要性を示しています。

出典

• 長期間使用していないサーバーへの不正アクセスによる個人情報漏えいのお詫びとお知らせ – 株式会社教育ソフトウェア
• 企業情報 – 株式会社教育ソフトウェア
• 情報セキュリティについて – 株式会社教育ソフトウェア
• Cybersecurity Framework – NIST
• Asset Management as a Foundation for Operational Technology Cybersecurity – NIST NCCoE
• 学習塾運営のCKCネットワーク・学参がランサムウェア被害で個人情報漏洩の恐れ – セキュリティ対策Lab