立教大学で学生・卒業生のGoogleアカウント6件が乗っ取られ、迷惑メール1万7,668件を送信

01発表されている事実

1. 2026年4月27日

   最初のアカウントへの不正アクセスが始まる

2. 5月下旬

   卒業生2名のアカウントを削除

3. 7月16日

   海外からの不正アクセスと迷惑メールの送信を検知。調査で、学生2名と2026年3月卒業の2名の計4アカウントが、4月27日から7月16日まで被害を受けていたと判明

4. 8月12日〜24日

   別の学生2名のアカウントでも不正アクセスを検知

5. 8月24日

   学生にも、学外からのログインで多要素認証を必須化（教職員は2026年3月から必須）

6. 9月8日

   公表

迷惑メールの本文の一部には、教員1名の氏名とメールアドレスが含まれていました。件名には受信トレイのメールに由来するとみられるものもあり、大学はメール本文や個人情報が第三者に閲覧された可能性を完全には否定できないとしています。Gmail以外のGoogle Workspaceのアプリ、VPN、学内ネットワークへの侵入の形跡はありません。Microsoft 365でも1アカウントで不審なログインがあり、プロフィール情報が閲覧された可能性があるため、すぐにセッションを切ったとしています。乗っ取りの手口は公表されていません。

02読者への影響

大学のアドレスから届いた身に覚えのないメールは、リンクを押さず、添付ファイルも開かずに削除してください。学生や卒業生のアカウントは、教職員より管理の目が届きにくく、乗っ取りに気づくのが遅れがちです。今回も、卒業して使わなくなったアカウントが被害を受けていました。

03同じことを防ぐには

大学に限らず、Google WorkspaceやMicrosoft 365を使う会社・団体に共通する対策です。

1. 多要素認証を職員だけでなく、学生・アルバイト・業務委託など全アカウントにかける
2. 卒業・退職したアカウントは、決めた期日に止めるか削除する
3. 海外からのログインや、1つのアカウントからの大量送信を知らせる設定を有効にする
4. 同じパスワードを他のサービスで使わない。総務省も、使い回すと別のサービスから漏れた情報でログインされると注意しています

乗っ取られたアカウントから届くメールは、送信元が本物の大学のアドレスです。迷惑メールフィルターをすり抜けやすく、受け取った側も信用しがちです。取引先や知人から急に届いた「ファイル共有」「支払い」の案内は、本文のリンクを使わず、電話や別の手段で本人に確かめてください。自分のアカウントの「送信済み」に覚えのないメールがある、転送設定が勝手に変わっている、といった場合は、すぐにパスワードを変え、管理者に知らせてください。

大学は今後、ログ監視と通知の改善、パスキーなどフィッシングに強い認証の検討、学生・教職員への教育の継続を挙げています。図鑑では、メールセキュリティと訓練のサービス、パスワード管理アプリを比べられます。