向上学園の職員グループウェアがランサム被害、生徒約500人分の詳細情報が流出した可能性

項目	内容
発生日	2025年11月20日
対象組織・業界	向上学園（向上高校・自修館中等教育学校／教育）
攻撃手法	職員用グループウェアの脆弱性を悪用したランサムウェア感染
情報源	Security NEXT（2025年12月12日）

概要

学校法人の情報漏えいで問われるのは、単に「何件流出したか」ではなく「どのレベルの粒度で公表できたか」です。事案の説明責任は、対象生徒・保護者への説明の質そのものになります。

2025年12月12日、向上学園は職員が情報共有などに使っているグループウェアがランサムウェア攻撃を受け、向上高校・自修館中等教育学校の生徒情報が流出した可能性があると公表しました。特筆すべきは、情報項目を細かく公表していることで、対象者本人にも「自分の何が漏れた可能性があるか」を判断しやすい情報開示になっています。

経緯

• 2025年11月20日: 発生
• その後: グループウェア脆弱性の修正、安全な運用状態へ復旧、監視体制強化
• 2025年12月12日: 公表

原因

「不正アクセスの原因となったシステムの脆弱性」が存在したと記載されており、具体的な CVE 番号や脆弱性の詳細は非公表です。

考えられる原因（推測）: 職員用グループウェアの既知脆弱性の悪用が典型的な入口です。教育機関は、業務用の SaaS・オンプレシステムを組み合わせて運用しており、パッチ管理が事務職員の兼務業務になっているケースが多く、脆弱性放置期間が長引きやすい構造にあります。

影響を受けた情報

向上高校（約400件）

• 特待生申請データ: 氏名・性別・学年・クラス・学籍番号・特待種別・補助額
• タブレット修理申請データ: 氏名・学年・クラス・学籍番号・出席番号・保護者氏名

自修館中等教育学校（約100件）

• 特待生・奨学生情報
• セミナー参加生徒情報: 氏名・学年・クラス・学籍番号・電話番号
• 留学申請生徒情報: 氏名・住所・電話番号・学年・保護者氏名・住所・電話番号・留学先住所・連絡先

対策

組織が学ぶべきこと

1. 説明責任として「項目レベルの公表」

「個人情報約500件」で済ませず、どの申請の・どの項目が流出したかまで公表した本件の情報開示は、教育機関の説明責任として質が高いです。対象生徒・保護者が「自分の何が漏れた可能性があるか」を具体的に理解できるため、二次被害への警戒レベルを自己判断できます。

2. 「特別な立場の生徒」情報の機微性

特待生・奨学生・留学申請という、学校内の中でも「特定の状況にある生徒」の情報が含まれています。単なる名簿より、これらの情報は差別的な扱いや詐欺の材料に使われるリスクが高く、通常の個人情報漏えい以上に慎重な扱いが必要です。

3. 職員グループウェアの位置づけ

「業務のコミュニケーションツール」と考えがちなグループウェアも、実態としては業務データが集約される場所です。メール・チャット・ファイル共有を統合したツールほど、単一のシステムに機微データが集中します。他の業務システムと同じ水準のパッチ管理・監視対象に組み込む必要があります。

ヤグラの視点 — 説明責任として「何が流出したか」を語れるログ

本件の情報開示のように、項目レベルで流出範囲を説明できるのは、平時からログを詳細に取っている組織だけです。「特待生申請データが対象」と言えるのは、そのデータへのアクセスログを保持しているからで、これは有事にならないと重要性が実感されない資産です。

ヤグラの AI SOC は、システムログをデータレイクに集約し、有事の際に「どのデータへ・いつ・どこから」アクセスされたかを証跡ベースで説明できる体制を支援します。教育機関のように多様な機微情報を扱う組織で、この「説明責任の設計」は他業種以上に重要です。

今後の対応

同学園は脆弱性を修正し復旧済み。監視体制強化により再発防止を進めるとしています。

更新履歴

日時	内容
2026-07-28	過去アーカイブとして記事化（キュレーション）