大阪樟蔭女子大学、職員のM365アカウントに不正アクセス——推測しやすいパスワードの使い回しが原因、外部宛に大量メール送信
| 項目 | 内容 |
|---|---|
| 発生日 | 2026年1月10日に発生 |
| 対象組織・業界 | 大阪樟蔭女子大学（教育） |
| 攻撃手法 | Microsoft 365アカウントへの不正アクセス（推測されやすいパスワードの他サービスとの使い回しが原因の可能性） |
| 情報源 | Security NEXT（2026年2月6日） |
大阪樟蔭女子大学は、事務職員1人のMicrosoft 365アカウントが外部から不正アクセスを受け、本人の意図に反して外部のメールアドレス宛てに大量のメールが送信されたことを公表しました。発生日は2026年1月10日で、2月6日にSecurity NEXTが報じました。
同大は原因として、対象アカウントに「推測されやすいパスワードが設定されており、他サービスと使い回していたことなども原因となった可能性が高い」と説明しています。対象アカウントのパスワードをリセットし、不正アクセスに使われた認証方式を無効化するなどの対策を実施しました。
- 2026年1月10日: 職員のMicrosoft 365アカウントに不正アクセス。本人の意図に反する大量メール送信が発生
- 対応: 対象アカウントのパスワードをリセット。不正アクセスに使われた認証方式を無効化
- 2026年2月6日: Security NEXTが事案を報道
同大は「推測されやすいパスワードが設定されており、他サービスと使い回していたことなども原因となった可能性が高い」と説明しています。攻撃者が別サービスから漏えいした認証情報を使って、または推測可能なパスワードで直接ログインした可能性が示唆されています。
考えられる原因（推測）
Section titled “考えられる原因（推測）”以下は公表事実の解釈で、大阪樟蔭女子大学が公表したものではありません。
- クレデンシャルスタッフィング/パスワードリスト攻撃: 他サービスとの使い回しに言及されている点は、他のサービスで漏えいした認証情報を用いた自動ログイン試行（クレデンシャルスタッフィング）で成功した典型パターンを示唆します
- MFA未適用のアカウントの露出: 「認証方式を無効化」という対応から、当該アカウントで多要素認証が未適用または回避可能な設定になっていた可能性が考えられます
- 踏み台としての大量送信の意図: 侵害後に本人の意図に反する大量メール送信が発生したのは、迷惑メール・フィッシング・BECの踏み台として利用された典型パターンです
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. パスワード使い回しは「知ってさえいれば」防げる: 本件の根因はテクニカルな脆弱性ではなく、「推測されやすいパスワード」「他サービスとの使い回し」——いずれもパスワード管理の基本ルールです。組織として「使い回さない」「推測されないパスワードを使う」「MFAを有効化する」の3点は、知識レベルの徹底で防げる部分です。
2. 教育機関の特殊事情：多数の職員・学生アカウント: 大学は事務職員・教員・学生と多様なアカウント群を持ち、セキュリティ運用が個々の利用者に依存しがちです。全アカウントに一律MFA適用・パスワード強度制約・過去漏えい情報との突合を運用に組み込むことが、この種の被害を防ぐ実効的な回答です。
3. 「大量メール送信」で気づく体制の遅さ: 不正ログインの直後ではなく、外部への大量メール送信で発覚する事案は、初期侵入から「悪用フェーズ」までの間に検知できていないことを意味します。異常な送信量・時間帯外のログイン・普段と違うIPからのアクセスを検知できていれば、悪用前に止められた可能性があります。
ヤグラの視点 — 訓練で防げた分岐点。「知ってさえいれば」を、体験に変える
Section titled “ヤグラの視点 — 訓練で防げた分岐点。「知ってさえいれば」を、体験に変える”パスワード使い回し・推測されやすいパスワード——この2つの言葉が原因説明に現れたら、それは「知識レベルで防げた事案」を意味します。しかし現実には、多くの利用者が「使い回してはいけないと知っているのに使い回してしまう」状態にあります。原因は「知らない」ではなく「知っているのに徹底できない」——ここに、従来型の年1回のe-learning訓練の限界があります。「使い回すとどうなるか」を情報として伝えるだけでなく、実際に自分のアカウントが漏えい情報リストに載っていないかを可視化し、AIが個別の利用者に対して「あなたのこのアカウントは、他サービスでの漏えいと同じパスワードを使っている」と個別具体的にフィードバックする——このレベルの訓練が現実的な対策です。訓練は「教えるためのもの」から、「個々人に体感させるためのもの」へと質が変わってきています。最新のAI活用型攻撃手口を反映したマルチチャネル型の訓練が有効です。（関連: ヤグラ アウェアネス）
送信された迷惑メールの件数・宛先、二次被害の有無、同大の他アカウントへの類似リスク対策に関する続報を注視し、判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-02-06 | 第一報を公開 |