慶應義塾（湘南藤沢キャンパス）が提供する「SFC-CNSメールサービス」で、学外からの不正アクセスにより、利用者のメールアドレスやパスワード等が漏えいした可能性が高いことが判明しました。対策として、メール用パスワードの強制リセットを2025年12月23日に、ログインパスワードの強制リセットを12月25日に実施しています。
目次
概要
発端は2025年11月26日、湘南藤沢キャンパスのメールシステムにあるスパムメール隔離サーバーから「不審な通信」が発生していることが判明した点です。同日中に侵入経路を封鎖し、機器メーカーであるシスコシステムズ合同会社へ情報提供を行ったとしています。
その後の調査で、12月18日に「当該機器上で動作しているソフトウェアの未知の脆弱性を利用して不正アクセスされた可能性が高い」ことが判明しました。いわゆるゼロデイ攻撃の疑いです。さらに、12月22日には、スパムメール隔離サーバーが参照していたディレクトリサーバーから、個人情報を含むデータが外部へ漏えいした可能性があることが判明したとしています。
漏えいした可能性のある情報
今回、漏えいの可能性が示されている情報は大きく2系統です。
漏えいがほぼ確実とされるデータ（ディレクトリサーバー上の情報）
-
対象：現在SFC-CNSを利用しているユーザー（学生、教員、職員、その他）と、2025年9月卒業生、および2025年8月28日以降にアカウントを停止したユーザー
件数：6,447件
内容：-
メールアドレス
-
ログイン用パスワードのハッシュ
-
メール用パスワード（平文）
-
Wi-Fi用パスワード（可逆暗号化）
-
漢字氏名／アルファベット氏名
-
学籍番号または教職員番号
-
転送先メールアドレス
-
その他、システムで用いる各種データ
-
-
対象：2025年3月卒業生
件数：1,025件
内容：メールアドレス（氏名やパスワードなどは含まれない）
漏えいの可能性があるデータ（スパムメール隔離サーバー上の情報）
-
隔離メール総数：最大222,508通（隔離サービス利用中のメールアドレス数984）
-
セーフリスト／ブロックリスト：最大1,613件（重複除くと1,102件）
ただし、転送されたデータ量から推定して、スパムメール隔離サーバー上の情報が「大量に」流出した可能性は低いと判断している、としています。
Cisco製品の脆弱性悪用の可能性(CVE-2025-20393)
公式リリースでは影響が疑われるのは、OneOfficeの一部サービスで利用している「スパムメールを隔離するサーバ」と「アカウント情報などを管理するサーバ（LDAP）」で、いずれも不正アクセスの形跡が認められたといいます。
ポイントは「メール本文そのもの」や「認証情報」など、性質の異なる情報がそれぞれ別の経路で漏洩した可能性がある点です。
特にスパム隔離領域は、迷惑メールとして隔離されたとはいえ、メール本文に個人情報や取引情報が含まれていることも珍しくありません。企業のメール運用に近い場所が狙われた形で、関係者の警戒が必要です。
なお、本脆弱性が原因と思われるインシデントがTOKAIコミュニケーションズでも発生しています。
関連：TOKAIコミュニケーションズ、法人向けメール製品へ不正アクセス 最大356万9,937通が情報漏洩の恐れ
関連記事
TOKAIコミュニケーションズ、法人向けメール製品へ不正アクセス 最大356万9,937通が情報漏洩の恐れ
シスコ、メールセキュリティ製品の脆弱性 CVE-2025-20393を修正-TOKAIコミュニケーションズのゼロデイ攻撃に悪用
シスコのメールセキュリティ製品の脆弱性を狙うサイバー攻撃(CVE-2025-20393)
慶應義塾大学 SFCのSFC-CNSメールで不正アクセス-パスワード漏えいの可能性「高い」
Ivanti Connect Secureに深刻な脆弱性(CVE-2025-22467)
シスコ製メールセキュリティ製品を狙うサイバー攻撃-独自バックドア「AquaShell」を確認
【2025年】サイバー攻撃の事例
【2025年】ゼロデイ攻撃の事例
Proofpointの設定が悪用され何百万通のフィッシングメールが送信される
