日本大学で教職員のメールアカウントが乗っ取られ迷惑メール送信。フィッシングでIDとパスワードを盗まれる

01発表されている事実

理工学部は、メールボックスの中身をすべて閲覧できる状態だったため、保存されていた個人情報が取得された可能性は完全には否定できないとしています。法人本部の発表では、大規模な抽出や持ち出しの痕跡は確認されていないものの、一部データへのアクセスの可能性は否定できないとしています。どちらも、検知後にアカウントの停止やパスワード変更で不正アクセスを遮断し、個人情報保護委員会や文部科学省などに報告しました。再発防止策として、多要素認証の導入推進、パスワード管理の厳格化、情報セキュリティ教育の再徹底を挙げています。

02読者への影響

乗っ取られたアカウントから届くメールは、送信者が本物の教職員です。受け取った人は信用しやすく、次のフィッシングの入口になります。日本大学は、差出人が同大学の教職員でも、心当たりのないメールはURLをクリックせず、添付ファイルも開かずに削除するよう呼びかけています。

また、乗っ取りに気づくまで理工学部で約12日、法人本部の件で約3週間かかっています。その間、メールボックスの中身は第三者から見える状態でした。学生や取引先とのやり取り、名簿の添付ファイルなどがメールに残っていると、それも閲覧の対象になります。

03同じことを防ぐには

大学に限らず、会社や団体のメールでも同じことが起こります。

1. メール（Microsoft 365 や Google Workspace など）に多要素認証をかける。パスワードを盗まれてもログインを止められる
2. ログイン画面に誘導するメールのリンクからはIDとパスワードを入れない。ブックマークから開く
3. 大量送信や海外からのログインを検知したら、すぐにアカウントを止める手順を決めておく
4. 取引先から本物のアドレスで不審なメールが来たら、電話など別の手段で確かめる

図鑑の「標的型メール」の入口では、メールセキュリティの製品と、フィッシングの見分け方を練習する訓練サービスを比べられます。教職員や社員向けの研修は「教育・訓練」から探せます。