多治見市の小中5校で不正ログイン被害、迷惑メール約1.6万件を外部送信

2025/12/08 全容判明軽微教育・研究 #不正アクセス

項目	内容
発生日	2025年11月5日9時前〜11月6日6時半頃
対象組織・業界	岐阜県多治見市市内小中学校5校（全21校中）
攻撃手法	メールアカウントへの不正ログイン（弱いパスワードの類推）
情報源	Security NEXT（2025年12月8日）

概要

岐阜県多治見市は、市内小中学校5校のメールアカウントが不正ログインを受け、外部の約1万6,000件のメールアドレス宛になりすまし迷惑メールが送信されたことを公表しました。原因は、メールアカウントに設定していたパスワードが脆弱で類推可能なものだったためと判断されています。

発覚後、同日中にメール送信を停止。セキュリティ対策を確認した上で、11月7日および14日に段階的にサービスを再開しました。

経緯

2025年11月5日朝: 小中5校のメールアカウントで不正ログインが発生し、外部宛に大量のなりすましメールが送信され始める
11月6日朝: 送信が継続。発覚後、同日中にメール送信機能を停止
11月7日および14日: セキュリティ対策の確認後、段階的にメールサービスを再開
2025年12月8日: Security NEXTが報道。多治見市が経緯・原因を公表

原因

多治見市は、メールアカウントに設定していたパスワードが脆弱で類推されやすいものだったため、不正ログインを許したと説明しています。具体的なパスワード運用（初期パスワードの使い回し・複雑性要件の未設定など）の詳細は公表されていません。

考えられる原因（推測）: 学校向けメールアカウントの運用では、(a) 教職員が使うアカウントに、着任時に配布された初期パスワードが変更されないまま残っていた、(b) 学校名や年号を含む推測しやすいパスワード規則が組織的に運用されていた、(c) 多要素認証（MFA）が未導入で、パスワードのみで認証が完結していた、などの背景が考えられます。5校が一斉に被害を受けている点から、組織的なパスワード運用ルールに共通の弱点があった可能性が考えられます。

対策

組織が学ぶべきこと

1. 「弱いパスワード」は個人の問題ではなく組織設計の問題

「類推されやすいパスワード」と聞くと従業員個人の不注意に見えますが、5校で同時に破られた事実は、組織全体のパスワード運用ルール（初期パスワード配布方針・複雑性要件・定期変更の運用・多要素認証の要否判断）に共通の弱点があったことを示唆します。教育委員会・自治体レベルでの認証ポリシー統一と、複雑性・多要素化の徹底が本質的な対策になります。

2. 1.6万件のなりすまし送信の二次被害

外部の1.6万アドレスに市立学校名義でメールが届いた事実は、単に「学校側が被害を受けた」で終わりません。受信者側では「学校からの正当な連絡」と誤認する可能性があり、その中に添付ファイル・偽ログインリンクが含まれていれば、二次被害の連鎖が発生します。今回は詳細な文面が公表されていませんが、受信者側にも「学校からの正規メールと誤認しないよう注意する」ためのアナウンスが必要な事案です。

3. 教育機関のパスワード運用と現実解

「複雑なパスワードを設定させ、定期変更させる」というルールは、教員の負担を上げるだけで守られないことが実務上知られています。より現実的な対策は、多要素認証（SMS OTP・認証アプリ・パスキー等）の導入と、初期パスワード配布時点でのランダム生成の徹底です。「弱いパスワードでも被害を出さない」設計に切り替えていく発想が求められます。

ヤグラの視点 — 訓練で防げた分岐点：「知っていれば止められる」がまさに問われた事例

本件は攻撃者の高度な技術というより、「弱いパスワードは類推される」という基本的な知識が組織的に徹底されていなかったことが直接原因です。B4の観点で「知っていれば防げた」典型例と言えます。

一方で、教育現場のように多職種・多年代が働く組織では、「一度説明すれば伝わる」を期待しない教育設計が必要です。AI時代の攻撃（生成AIによる巧妙ななりすましメール・SMS/電話を組み合わせた多段攻撃・ClickFix型の偽警告）を反映した、マルチチャネル型の訓練でリアリティを持って学べる環境の整備が有効です。ヤグラのアウェアネスは、認証情報を狙う最新手口を反映した訓練シナリオと、クリックしてしまった従業員への自動フォロー教育を組み合わせ、「知っている」を「体験している」に変えるための基盤を提供します。

今後の対応

多治見市はメールサービスを再開済みで、パスワード運用の見直しを実施したとみられます。ただし、市内全21校中5校で発生した事実から、未被害の16校を含めた全校でのパスワード運用一斉見直し・多要素認証導入計画の実施有無が、再発防止の実質的な判断ポイントになります。

更新履歴

日時	内容
2026-07-30	初稿公開（2025年12月8日の報道を元に、アーカイブ整備の一環として記事化）