使っていた人が、いますぐやること
- 1
大阪公立大学の学生・教職員新しいパスワードをまだ受け取っていなければ、11月8日までに受け取りサイトで受け取る（11月9日以降は相談窓口）。使えない二要素認証は窓口で設定し直す
- 2
大阪大学の卒業生・在学生・教職員大学からの個別の通知を待つ。大学やNECを名乗るフィッシングメールやなりすましメールで、ログインやパスワードの入力を求められても応じない
- 3
大阪公立大学の卒業生・保護者気になることは、10月23日に開いた相談フォームか電話で相談する
- 4
全員大学のパスワードと同じものをほかのサービスで使っていたら変える
被害にあっているときの手順を見る →
漏れた可能性がある情報NECのクラウドストレージ内の、大学に関する個人情報とシステム関連情報の漏えいを確認。内容と件数はNECに確認中
含まれていないもの大学の全学教育用電子計算機システムへの不正アクセスの跡は確認されていない
いまの状況（調査中）10月9日から対面授業を再開し、臨時のシステムで対応。OMU認証のパスワードは10月12日に強制変更
02HOW THEY WERE HACKED
どんなハッキングをされた？
ひとことでNECは2026年10月20日、システムの開発・保守を任せている委託先が9月下旬にサイバー攻撃を受け、盗まれた正規アカウントの認証情報が悪用されて、お客さまのシステムに不正アクセスされたと発表しました。お客さまのサーバーのファイルが暗号化され、システムが使えなくなりました。また、関係者と情報を共有していたクラウドストレージのファイルも漏えいしました。大阪公立大学では10月2日から学内のシステムの多くが止まり、大阪大学では7万7,851人分の個人情報が第三者に取られたと、それぞれの大学が発表しています。
1大阪公立大学（保守・運用はNECに委託） ・ 大阪公立大学の情報基盤システム委託先の正規アカウントを悪用した不正アクセスとランサムウェア
サプライチェーン攻撃とは →
- STEP 1委託先が攻撃される
NECがシステム開発・保守を再委託している会社が、9月下旬にサイバー攻撃を受けた
- STEP 2正規アカウントで入る
その会社の正規のアカウントの認証情報が盗まれ、委託先の端末から大学のシステムに入られた
- STEP 3ファイルを暗号化
サーバー内のファイルが暗号化され、仮想化基盤で大きな障害が起き、多くのシステムが止まった
- STEP 4共有ファイルが漏えい
NECが使っていたクラウドストレージの、大学に関する個人情報とシステム関連情報が漏えいした
くわしい内容を見る ↓
2大阪大学（運用はNECに委託） ・ 大阪大学の全学教育用電子計算機システムの運用クラウドストレージで共有していたファイルのダウンロード
不正アクセスとは →
- STEP 1報告のない協力会社と共有
NECが、大学に報告されていない協力会社との共有のため、個人情報を含むファイルをクラウドストレージに置いていた
- STEP 2消すべきファイルが残る
作業が終わったら消すべきファイルも残っていた
- STEP 3第三者がダウンロード
9月26日、これらのファイルが第三者にダウンロードされた
くわしい内容を見る ↓
手口大学から保守を任されたNECが、さらに仕事を任せていた会社（再委託先）が攻撃を受けました。その会社が持っていた本物のアカウントで大学のシステムに入られたため、ふつうの保守作業と見分けにくい形でした。大学はランサムウェア攻撃によるものと判断しています。再委託先の名前や、どのように攻撃されたかは公表されていません。
- 侵入
- 再委託先が9月下旬にサイバー攻撃を受け、正規アカウントで大学のシステムに不正アクセス
- 発覚
- 10月2日未明に大規模な障害。ベンダーからの連絡で分かった
- 公表
- 10月2日（第1報）、10月5日に記者会見、10月21日（第5報）で原因を公表
- 止まったもの
- 学内ネットワーク、OMUメール、法人・大学の各Webサイト、教育支援・教務・財務会計・人事給与・図書館の各システムなど。医学部附属病院と獣医臨床センターのシステムには影響なし
- 漏えい
- NECのクラウドストレージ内の、大学に関する個人情報とシステム関連情報の漏えいを確認。内容と件数はNECに確認中
- 調査中のもの
- 大学の仮想化基盤の中にある教務システム関連の情報（約13万件など）が漏れたかどうか
- いまの状況
- 10月9日から対面授業を再開し、臨時のシステムで対応。OMU認証のパスワードは10月12日に強制変更
手口大阪大学によると、NECは大学との契約にもとづかずに、協力会社と個人情報を含むファイルをクラウドストレージで共有し、作業後も消さずに持っていました。そのファイルが第三者にダウンロードされました。NECの調査では、大学の教育用システムへの不正アクセスの跡は見つかっていません。
- 侵入
- 9月26日に、個人情報を含むファイルが第三者にダウンロードされた
- 発覚
- 10月9日にNECから大学へ報告
- 公表
- 10月21日
- 影響の範囲
- 77,851人（重複を除く）。卒業生59,014人、在学生15,035人、教職員3,802人
- 情報の種類
- 氏名、大阪大学個人ID、大学が付けるメールアドレス（OUMailアカウントなど）、学籍番号または職員番号、所属の情報など。人によって違う
- 含まれないもの
- 大学の全学教育用電子計算機システムへの不正アクセスの跡は確認されていない
- いまの状況
- 不正利用や二次被害は確認されていない。対象者には個別に通知するとしている
- NECの委託先
システム開発・保守を任されていた委託先がサイバー攻撃を受ける
- 大阪大学
大学の個人情報を含むファイルが第三者にダウンロードされる
- 大阪公立大学
未明に情報基盤システムで大規模な障害。授業を休講し、第1報。学長を本部長とする危機対策本部を置く
- 大阪公立大学
記者会見。ランサムウェア攻撃によるものと判断していると説明
- 大阪公立大学・大阪大学
大阪公立大学が全キャンパスで対面授業を再開。NECが大阪大学にファイルの取得を報告
- 大阪公立大学
OMU認証のパスワードの強制変更が終わる
- NEC
17時に公表。委託先の正規アカウントの悪用と、クラウドストレージのファイルの漏えいを説明
- 大阪公立大学・大阪大学
大阪公立大学が第5報で原因を公表。大阪大学が77,851人分の漏えいを公表
- 大阪公立大学
卒業生・保護者向けの相談窓口（フォームと電話）を開く
- 大阪公立大学
新パスワードの受け取りサイトを11月8日で終えると案内
NECの対策委託先にNECが管理する端末を貸し出すなどの対策を進め、委託先の管理と個人情報の管理を強めるとしている
お客さまへの連絡NECは、影響のあった複数のお客さまに個別に連絡した。漏えいした個人情報の詳細は分かりしだい報告するとしている
大阪公立大学の立て直し危機対策本部を置き、外部の専門事業者の支援で調べている。臨時のMoodleやポータルなどを作り、10月9日に対面授業を再開した
パスワードの変更大阪公立大学はOMU認証のパスワードを強制的に変え、本人確認をしたうえで新しいパスワードを渡す窓口を設けた
報告大阪公立大学は個人情報保護委員会、文部科学省、大阪府・大阪市、JPCERT/CCなどに報告した
大阪大学の求め大阪大学はNECに、収束に向けた対応、原因の究明、再発防止の徹底を求めるとしている
07ABOUT THE COMPANY
どんな会社？
ITサービス事業と社会インフラ事業を主な事業とする会社です。今回は、NECが大学から請け負っていたシステムの保守・運用の仕事で、NECの委託先が攻撃の入口になりました。
事業
- ITサービス事業
- 社会インフラ事業
- システムの開発・保守・運用
- 会社名
- 日本電気株式会社（NEC Corporation）
- 創立
- 1899年（明治32年）7月17日
- 本社
- 東京都港区芝五丁目7番1号
- 代表者
- 取締役 代表執行役社長 兼 CEO 森田 隆之
- 従業員
- 単独 33,266名（2026年10月1日現在）、連結 107,229名（2026年9月30日現在）
- 資本金
- 4,278億円（2026年3月31日現在）
出典：会社の公式サイト「会社概要」
