小樽商科大学の同窓会組織「緑丘会」、パソコン1台が侵害され会員情報が流出の可能性
| 項目 | 内容 |
|---|---|
| 発生日 | 侵害の発生・発覚の時期は公表されていない |
| 公表日 | 2025年12月26日（報道） |
| 対象組織・業界 | 緑丘会（小樽商科大学の同窓会組織／公共・非営利） |
| 影響件数 | 公表されていない。会員の氏名、住所、電話番号、メールアドレス |
| 攻撃手法 | パソコン1台が外部より侵害された。侵入経路は公表されていない |
| 情報源 | Security NEXT（2025年12月26日） |
小樽商科大学の同窓会組織である緑丘会は2025年12月26日、パソコン1台が侵害されて会員の個人情報が外部に流出した可能性があると公表しました。
対象となったのは、当該パソコンに保存されていた会員の氏名、住所、電話番号、メールアドレスです。件数は公表されていません。
同会は警察に相談するとともに個人情報保護委員会へ報告し、緊急のメンテナンスを行ったほか、セキュリティ体制の強化、職員への再教育など再発防止策を講じたとしています。
外部における会員情報の流通などは確認されていない一方で、流出の可能性もあるとして調査を行っている段階です。
- 侵害の発生・発覚の時期: 公表されていない
- 判明後: 警察へ相談。個人情報保護委員会へ報告
- 対応: 緊急のメンテナンスを実施。セキュリティ体制の強化、職員への再教育などの再発防止策を実施
- 2025年12月26日: 報道により伝えられる。外部での情報流通は確認されていないが、流出の可能性もあるとして調査を継続
判明している事実: パソコン1台が外部より侵害されたことです。侵入経路、侵害の時期、発覚の経緯はいずれも公表されていません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”再発防止策に「職員への再教育」が挙げられている点が、この事案の手がかりになります。機器の入れ替えやシステムの再構築ではなく教育が対策として示されていることは、人の操作が侵害の起点に関わったと同会が捉えていることを示唆します。フィッシングによる認証情報の窃取、不審な添付ファイルの実行、偽の警告からの操作といった経路が考えられます。
侵害されたのがサーバではなくパソコン1台であった点も、この事案の性格を表しています。同窓会組織の事務局は少人数で運営されることが多く、会員名簿を専用のシステムではなく担当者のパソコン上のファイルで管理している場合があります。1台の端末が、名簿の実質的な保管場所になっていた構図が考えられます。
件数が公表されていない理由については、ファイルの中身を後から特定する作業に時間を要している可能性が考えられます。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 名簿を端末上のファイルで持たない構成にする
Section titled “1. 名簿を端末上のファイルで持たない構成にする”パソコン1台の侵害が、会員名簿全体の流出の可能性につながっています。端末に原本を置く運用では、その1台が侵害された時点で名簿全体が対象になります。共有の保管場所に原本を置き、端末では必要な範囲だけを開く構成にすれば、影響の範囲が変わります。
2. 少人数の事務局こそ、端末の管理を仕組みに寄せる
Section titled “2. 少人数の事務局こそ、端末の管理を仕組みに寄せる”同窓会や任意団体の事務局は、専任の情報システム担当を置けないことが多い環境です。そのぶん、端末の更新やマルウェア対策、バックアップを個人の運用に委ねると継続しません。管理を外部サービスに寄せるか、大学側の支援を受けるかを含めて、続けられる形を選ぶ必要があります。
3. 会員名簿は、保持する項目と期間を定期的に見直す
Section titled “3. 会員名簿は、保持する項目と期間を定期的に見直す”対象は氏名・住所・電話番号・メールアドレスです。同窓会の連絡という目的に、住所と電話番号の両方が必要かは検討の余地があります。連絡手段を絞れば、保持する項目も減らせます。
ヤグラの視点 — 訓練で防げた分岐点：対策に「職員への再教育」が挙がっている意味
Section titled “ヤグラの視点 — 訓練で防げた分岐点：対策に「職員への再教育」が挙がっている意味”同会が公表した再発防止策には、緊急のメンテナンス、セキュリティ体制の強化とともに、「職員への再教育」が挙げられています。侵入経路は公表されていませんが、対策として教育が示されたことは、人の操作が関わったと同会自身が見ていることを示しています。
パソコン1台が外部から侵害される経路は限られます。公開サーバのように常時外部から到達できるわけではないため、多くの場合はその端末を使う人が何かを開くか、どこかに入力するかが起点になります。フィッシングのリンク、添付ファイル、偽の警告からの操作——いずれも「知っていれば避けられた」類の分岐点です。
ただし、知識があれば避けられるかというと、そうとは限りません。同窓会の事務局に届くメールには、会員からの問い合わせ、大学からの連絡、名簿業者や印刷会社からの営業が日常的に混ざります。その中の1通を見分ける判断を、専任の担当者がいない環境で毎回正しく行うのは容易ではありません。規程の周知だけでは、この場面に届きません。
だから効くのは「不審なメールに注意する」という再確認ではなく、その現場で実際に届く形のメールを使った訓練です。攻撃側はすでにメール以外の経路も使っており、SMSや偽警告からの誘導まで含めたシナリオが要ります（→ ヤグラ アウェアネス）。あわせて、報告の間口を下げておくことも同じだけ重要になります。少人数の組織では、気づいた人が言い出せるかどうかが、被害の広がりをそのまま決めます。
- 侵入経路と侵害の時期の特定
- 対象となった会員の件数
- 対象者への連絡状況
- 外部での情報流通に関する調査結果
| 日時 | 内容 |
|---|---|
| 2026-08-17 | 2025年12月26日の報道内容をもとにアーカイブ記事として作成 |