NECの委託先が攻撃され大学に被害 大阪公立大学はランサムウェア、大阪大学は7万7851人漏えい

01この記事でわかること

この記事では、次のことを順に説明します。

• 大阪公立大学と大阪大学で、それぞれ何が起きたのか（日付つき）
• 止まったもの、漏れたもの、まだ調査中のもの
• 学生・卒業生・保護者・教職員が今すぐやること
• 保守を任せる会社が、委託先のアカウントやリモート接続をどう管理するか
• 保守を請け負う会社が、どこまで責任を負うのか

3行でまとめると、次のとおりです。

1. 大阪公立大学は、NECの再委託先の正規アカウントを悪用した不正アクセスを受け、ランサムウェアでシステムが止まった
2. 大阪大学は、NECが契約によらず協力会社とクラウドストレージで共有し、削除せずに残していたファイルを第三者に取得された
3. どちらも、大学の外にある「委託先のさらに先」が入口になった

使った資料は、大阪公立大学の臨時お知らせサイトと、大阪大学のニュースページです。NECも10月20日に公表していますが、NECのページはこちらの環境から開けなかったため、NECの説明は大学の発表に書かれた範囲だけを紹介します。報道の情報は使っていません。

02何が起きたのか（全体像）

2つの大学の件は、どちらもNECが関わる業務で起きました。ただし、中身は同じではありません。

再委託とは、仕事を請け負った会社が、その一部をさらに別の会社に任せることです。大阪公立大学の件では、大学から見て「委託先のNEC」の、さらに先にある会社が入口になりました。このように取引先を経由して攻撃が広がることを、サプライチェーン攻撃と呼びます（用語集：サプライチェーン攻撃）。

大阪大学のお知らせは、NECの10月20日の公表にリンクしています。ただし、大阪大学のお知らせには、協力会社がサイバー攻撃を受けたという記述も、大阪公立大学の件と同じ事案だという記述もありません。この記事では、2つを「同じ攻撃」とは書かず、それぞれの大学が書いた事実を分けて紹介します。

03発表の時系列

大学の発表に書かれた日付です。NECの公表日時は、大阪公立大学の第5報に載っているリンクの説明（10月20日17時公表）によります。

1. 9月下旬

   NECの再委託先がサイバー攻撃を受ける（大阪公立大学 第5報）

2. 9月26日

   大阪大学の個人情報を含むファイルが、第三者にダウンロードされる

3. 10月2日 未明

   大阪公立大学の情報基盤システムで大規模な障害。ベンダーからの連絡で把握。当日の授業は休講。学長を本部長とする危機対策本部を設置

4. 10月5日

   大阪公立大学が記者会見。ランサムウェア攻撃と判断していると説明

5. 10月8日

   大阪公立大学 第4報。10月9日から全キャンパスで対面授業を再開すると発表

6. 10月9日

   NECが大阪大学に、ファイルが取得されたと報告

7. 10月12日

   大阪公立大学で、OMU認証パスワードの強制変更が完了

8. 10月19日

   大阪公立大学が、パスワード受け取りなどの対面相談窓口を4キャンパスで開始

9. 10月20日

   NECが公表。大阪公立大学はNECから原因の報告を受ける

10. 10月21日

    大阪公立大学が第5報（11時30分）。大阪大学も漏えいを公表

11. 10月23日

    大阪公立大学が、卒業生・保護者向けの相談窓口（Webフォーム）を開設

12. 10月29日

    大阪公立大学が、新パスワードの受け取りサイトを11月8日で終えると案内

表から分かるのは、攻撃から公表までの間に時間があることです。大阪大学の件では、ファイルの取得（9月26日）からNECの報告（10月9日）まで約2週間、公表（10月21日）まではさらに12日かかっています。大阪公立大学も、障害（10月2日）から原因の報告（10月20日）まで18日かかりました。委託先の中で起きたことは、任せた側からは見えにくいのです。

04大阪公立大学で止まったもの・漏れた可能性のあるもの

止まったシステム

10月5日の会見では、仮想化基盤システムで大規模な障害が起きたと説明しました。仮想化基盤とは、1台の大きな機械の上で多数のサーバーを動かす仕組みです。ここが止まると、その上で動くシステムがまとめて使えなくなります。会見で止まっていると挙げたのは、学内ネットワーク、OMUメール、法人・大学の各Webサイト、教育支援システム、教務システム、財務会計システム、人事給与システム、図書館システムです。

医学部附属病院と獣医臨床センターのシステムには影響がなかったと、第1報で説明しています。10月13日には、大学の認証サービスが止まっているため、学内と他の大学での eduroam（大学どうしで使える無線LAN）の接続も使えないと案内しました。

授業と手続きの立て直し

大学は10月9日に対面授業を再開しました。そのために、臨時Moodle（学習管理システム）、臨時学生Navi、臨時授業カタログ、臨時デジタル窓口、大学アプリのQRコードによる出席登録などを用意しています。お知らせ一覧を見ると、給与、雇用保険、証明書の発行、入試の出願など、事務の手続きにも臨時の対応が続いています。

漏れた可能性のある情報

第5報では、NECが使っていたクラウドストレージに保存されていた、大学に関する個人情報とシステム関連情報の漏えいが確認されたとしています。内容と件数はNECに確認中です。

これとは別に、会見で示した教務システム関連の情報（約13万件など）は、大学の仮想化基盤の中にあるものです。こちらから漏れたかどうかは、まだ調査中です。大学は、個人情報保護委員会、文部科学省、大阪府・大阪市、JPCERT/CCなどに報告しています。

05大阪大学で漏れた情報

大阪大学によると、漏えいの対象は重複を除いて7万7,851人です。内訳は、卒業生5万9,014人、在学生1万5,035人、教職員3,802人です。

漏れた項目は人によって違いますが、主に次のものです。

• 氏名
• 大阪大学個人ID
• 大学が発行したメールアドレス（OUMailアカウントなど）
• 学籍番号または職員番号
• 所属の情報

原因について大学は、NECが、大学に報告されていない協力会社を業務の一部に関わらせ、大学との契約によらずに個人情報を含むファイルをクラウドストレージ上で共有していたと説明しています。さらに、作業が終わったら削除すべきファイルも残していたとしています。そのファイルが第三者にダウンロードされました。

パスワードやクレジットカード番号は、漏れた項目として挙げられていません。一方で、氏名と大学のメールアドレスと所属がそろうと、大学を名乗る本物らしいメールを作りやすくなります。大学も、漏えいした情報を悪用したフィッシングメールやなりすましメールに注意するよう呼びかけています（用語集：フィッシング）。

06自分が関係するか確かめる方法

次の問いに当てはまるかを確かめてください。

• 大阪大学の卒業生・在学生・教職員か。大阪大学は対象者に個別に通知するとしています。時期と方法はまだ書かれていません。
• 大阪公立大学の学生・教職員か。OMU認証パスワードは10月12日に強制変更されています。新パスワードを受け取っていない人は手続きが必要です。
• 大阪公立大学の卒業生・保護者か。漏えいの内容と範囲はまだ確認中です。気になる人は10月23日に開いた相談フォームを使えます。
• NECに保守や運用を任せている会社や団体か。NECの公表内容はこちらでは確かめられていません。気になる場合は、NECの自社担当の窓口に影響の有無を問い合わせてください。

どの場合も、確認は公式サイトから行ってください。メールやSMSのリンクから「対象かどうか確認する」ページに進むのは避けてください。

07今すぐやること（立場別）

大阪公立大学の学生・教職員

1. 新パスワードをまだ受け取っていなければ、11月8日までに受け取りサイトで受け取る。11月9日以降は相談窓口での対応になる
2. 大学のパスワードと同じものを、ほかのサービスで使っていたら変える。大学も10月6日に学内向けに「他サービスでのパスワード変更のお願い」を出している
3. 二要素認証（パスワードに加えてスマートフォンなどで本人確認する仕組み）を設定し直す。機種変更などで使えない人は相談窓口へ

大阪大学の卒業生・在学生・教職員

1. 大学からの個別通知を待つ。届いたら、内容を大学の公式サイトのお知らせと照らし合わせる
2. 大学やNECを名乗るメールで、ログインやパスワードの入力を求められても、リンクから入力しない
3. 大学のメールアドレスを使って登録している外部サービスがあれば、そのパスワードを使い回していないか確かめる

どちらの大学とも関係ない会社

自社のシステムを外部に保守してもらっているなら、この機会に「誰が、どのアカウントで、どこから入れるのか」を書き出してみてください。具体的なやり方は、後半の2つの節で説明します。

08大学とNECの対応

大阪公立大学は、外部の専門事業者の支援を受けて原因と被害を調べています。NECが事実関係と影響範囲を調査中で、大学はNECと連携して情報を集め、必要な対応をとるとしています。卒業生・保護者向けにはWebフォームの相談窓口を開き、電話の窓口は後日掲載するとしています。在学生と教職員には、身分証で本人を確かめたうえでパスワードを渡す対面窓口を設けました。なりすましを防ぐためです。

大阪大学は、今回の事態を重く受け止め、大変遺憾だとしています。NECに対して、事案への対応、原因の究明、再発防止の徹底を求めるとしています。問い合わせは、情報推進部情報基盤課のフォームで受け付けています。

補償やお詫びの金銭については、2026年10月29日時点で、どちらの大学の発表にも書かれていません。

09まだ分かっていないこと

• NECの再委託先・協力会社の名前と、どのように攻撃を受けたのか
• 盗まれた正規アカウントが、どんな権限を持ち、どんな経路で大学のシステムにつながっていたのか
• 大阪公立大学の仮想化基盤から、情報が持ち出されたかどうか
• NECのクラウドストレージから漏れた、大阪公立大学に関する情報の内容と件数
• 大阪公立大学のシステムがすべて元に戻る時期
• 大阪大学の個別通知の時期と方法
• 2つの大学の件が、同じ協力会社・同じ攻撃によるものかどうか
• ほかにNECの顧客で被害を受けたところがあるかどうか

攻撃者が誰か、身代金を求められたかどうかも、大学の発表には書かれていません。この記事も推測では書きません。

10保守を任せる側が委託先のアカウントをどう管理するか

大阪公立大学の件で目を引くのは、入口が「正規のアカウント」だったことです。正しいIDとパスワードで入られると、ふつうの保守作業と見分けがつきにくくなります。ウイルス対策ソフトや侵入の検知だけでは止めにくい攻撃です（用語集：アカウント乗っ取り）。

中小企業でも、会計システム、基幹システム、Webサイト、複合機などを外部の会社に保守してもらうことは多いはずです。次の5つを点検してください。

1. 委託先のアカウントを一覧にする。どの会社の誰が、どのアカウントで、どの機器に入れるのかを書き出します。共有アカウント（複数の人で1つのIDを使うもの）があれば、人ごとに分けてもらいます。
2. ふだんは使えない状態にしておく。保守のアカウントは、作業する日時だけ有効にし、終わったら無効に戻します。常につながっている保守回線やリモート接続は、本当に必要かを見直します。
3. 多要素認証をかける。IDとパスワードだけで入れる入口をなくします（用語集：多要素認証）。リモート接続の機器は、法人VPN・リモートアクセスやゼロトラストの製品で、端末と利用者を確かめてから通す形にできます。
4. 権限を絞る。保守の作業に、全部の機器の管理者権限は要らないことが多いです。必要な機器だけ、必要な権限だけにします（用語集：管理者権限）。仮想化基盤やバックアップの管理画面は、とくに入れる人を限ります。
5. ログを見る仕組みを作る。夜中や休日の管理者ログイン、ふだんと違う場所からの接続に気づけるようにします。自社で見られなければ、EDRやSOC・監視サービスに任せる方法があります。

契約の面では、再委託するかどうか、するならどこにどの仕事を任せるかを、事前に報告してもらう決まりを入れます。個人情報保護委員会のガイドラインも、個人データの扱いを委託するときは委託先を「必要かつ適切に監督」すること（個人情報保護法第25条）を求めています。再委託については、委託先から事前に報告を受けるか承認することが望ましいとしています。委託先が再委託先を適切に監督していないと、委託元の法違反と判断されることがある、とも注意しています。

大阪大学の件は、契約にない協力会社とのファイル共有と、削除の漏れが原因でした。任せる側としては、「作業が終わったら渡したデータを消し、消したことを報告してもらう」ことも契約に書いておくと、確かめる手がかりになります。

11保守を請け負う側になったときの責任

中小企業は、任せる側であると同時に、大きな会社や役所から仕事を請け負う側でもあります。今回のように、自社のアカウントが盗まれると、自社ではなくお客様のシステムが止まります。請け負う側として、次の点を見直してください。

• お客様のシステムに入れるアカウントを、自社の最重要の資産として扱う。パスワードを表計算ファイルやメモに残さず、パスワード管理の仕組みで管理します。退職者や異動した人のアカウントはすぐ止めます。
• 契約にない会社に仕事やデータを回さない。手伝いの会社を入れるときは、発注元に事前に報告し、了解を得ます。大阪大学は、報告のない協力会社が関わっていたことを、問題点として公表しています。
• 共有したデータは、作業が終わったら消す。クラウドストレージの共有フォルダは、作業ごとに作り、終わったら中身ごと消します。誰と共有しているかを定期的に見直します。
• 自社が攻撃されたら、すぐに発注元へ知らせる。いつまでに誰へ連絡するかを、契約と社内の手順書で決めておきます。報告が遅れるほど、発注元の被害は広がります。

国も、取引先に求める対策の目安を整えています。「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」はその一つです（SCS評価制度の記事）。IPAの「中小企業の情報セキュリティ対策ガイドライン」も、2026年3月の第4.0版でこの制度の考え方に沿った内容になりました。取引先から対策を求められたときの考え方は、図鑑の「取引先から対策を求められた」の入口でもまとめています。

万一のときに備えて、事故対応・フォレンジックを頼める会社や、サイバー保険を調べておくのも一つの方法です。

12よくある質問

13今後の予定と更新方針

大阪公立大学は、NECと連携して漏えいした情報の内容と範囲を確かめ、電話の相談窓口を後日掲載するとしています。新パスワードの受け取りサイトは11月8日に終わり、11月9日からは相談窓口で対応します。大阪大学は、対象者に個別に通知するとしています。

この記事は、大学やNECから新しい発表があれば、公式の発表で確かめたうえで書き足します。数字や日付は、公式発表に書かれたものだけを載せます。