国立大学法人埼玉大学は12月15日、在学生の学籍番号およびGPA（成績指標）などを含む情報が、一部の画面操作によって閲覧可能な状態になっていたと発表し、学生や保護者らに謝罪しました。対象は在学生8,373人分で、現在のところ不正利用や外部への拡散は確認されていないとしています。
何が起きたのか
大学によると、学生の学修状況の「見える化」を目的に、GPA分布を示すレポートを学生および保護者向けに学内認証システム経由で限定公開していました。
このレポートはデータ可視化ツールを使って作成されており、本来はグラフなどの集計情報だけが見える想定でしたが、
-
ツールの仕様上、「グラフの背後にある元データ（データソース）」を
-
特定の操作で一覧表示できる設定になっていたにもかかわらず、
-
非公開とすべき学籍番号がそのデータソースに残ったまま公開されていた
ことが原因で、
学籍番号とGPAが1行ずつ並んだ一覧が画面上に表示できる状態 になっていたといいます。
この問題は、2025年11月18日に学生からの指摘で発覚し、同日中にレポートの公開を停止しました。
閲覧可能だった情報の範囲
閲覧されていた可能性のある項目は以下の通りです（在学生8,373名分）。
-
学籍番号
-
GPA区分・GPA（成績）
-
学生所属コード
-
学部名・学科名
-
所属名カナ・略称
-
学部名・学科名の英字表記
-
所属名記号
-
現況区分名
-
GPA区分名称・学期区分名称
一方で、大学は次の点も強調しています。
-
氏名・連絡先・生年月日など、個人を直接特定できる情報は含まれていない
-
公開画面からデータをダウンロードすることはできない仕様
-
レポートのURLは、学内認証システムを通じて学生と保護者にだけ告知されていた
現時点では、不正なアクセスや、外部サイト等へのデータ転載といった事実は確認されていないとしています。
公開されていた期間
問題のレポートが閲覧可能だった期間は、
-
2025年11月14日（金）10:23 ～ 11月18日（火）12:53
の約4日間でした。
原因
埼玉大学は、原因として次の点を挙げています。
-
利用していたデータ可視化ツールには、グラフの元データを一覧表示できる仕様があった
-
そのデータソースから学籍番号を除去しないまま公開してしまった
-
ツールの仕様やリスクに関する職員の理解が不十分だった
-
公開前の確認作業において、
-
特定操作時の画面挙動
-
表示されるデータ範囲
を十分に検証できていなかった
-
これらが重なり、本来非公開とすべき学籍番号が事実上「見えてしまう状態」で公開されたと説明しています。
関連記事
ブティックスの子会社のリアライブ、ジョブトラアカデミーへの不正アクセスで約 35 万件の個人情報漏洩の可能性
住宅設備機器専門卸商社の株式会社ソーゴー、2024年11月のサイバー攻撃で個人情報漏洩は確認されず
住宅設備機器専門卸商社の株式会社ソーゴーがランサムウェアと不正アクセスの被害を発表
ボルボ北米、HRソフトサプライヤー「Miljödata」へのサイバー攻撃で人事情報が漏洩
ランサムウェア「ブラックスーツ」が米IT企業へ不正アクセスし約95万人の個人情報を窃取
EU、新システムで出入国を指紋と顔認証で実施-各種生体情報や個人情報も厳格に保存
トヨタ自動車へ不正アクセス 約240GBの情報漏洩の可能性
損保ジャパン、4月の不正アクセスによるサイバー攻撃で最大約1,748万件の情報漏洩の可能性
Googleへ不正アクセス、Gmail アカウント 情報の最大25億人分が漏洩の可能性-パスワード変更を推奨
