中央学院大学、VPN経由で学内関係者アカウントが悪用され複数教育系サーバがランサム被害
| 項目 | 内容 |
|---|---|
| 発生日 | 2025年10月7日（初期侵入）／2025年12月21〜22日（ランサム実行） |
| 対象組織・業界 | 中央学院大学（高等教育機関） |
| 攻撃手法 | 学内関係者アカウントの悪用によるVPN経由の侵入 → ランサムウェア |
| 情報源 | Security NEXT（2026年3月5日） |
千葉県我孫子市の中央学院大学は、外部から学内関係者のアカウントを悪用してVPN経由で学内ネットワークに侵入され、複数の教育系サーバがランサムウェアで暗号化される被害を受けたと公表しました。初期侵入は2025年10月7日、ランサムウェア実行は2025年12月21〜22日と、約2か月半の潜伏期間を経て発症しています。
流出可能性のある個人情報は、2025年度在学生および2019〜2022年度入学生の氏名、生年月日から生成された初期パスワード、学籍番号、旧メールアドレスなどです。2026年2月16日時点では、外部での個人情報公開などは確認されていないとしています。
- 2025年10月7日: 学内関係者のアカウントを悪用した外部からのVPN経由の侵入（初期侵入）
- 2025年12月21〜22日: 複数の教育系サーバでランサムウェアが実行され、暗号化被害が発生
- 2026年2月16日: 大学が調査結果を公表（外部での情報公開は未確認）
- 2026年3月5日: Security NEXTが公表内容を報道
- 以降: 外部協力のもと調査を継続
同大は「学内関係者のアカウントを悪用し、外部からVPN経由で学内ネットワークに侵入された」と説明しています。当該アカウントの認証情報がどのように漏えいしたか（フィッシング／使い回し／情報窃取マルウェア／内部不正 等）は公表されていません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”以下は公表事実から考えられる仮説であり、同大が公表したものではありません。
- アカウントの認証情報がフィッシングまたは情報窃取マルウェアで漏えいした可能性: 学内関係者アカウントが悪用された事案の典型パターンは、当該アカウントの利用者がフィッシングメールにより認証情報を入力してしまった、または個人端末が情報窃取マルウェアに感染していたケースです
- VPNにMFAが設定されていなかった可能性: 認証情報の漏えいだけでVPN経由の侵入が成立した点から、多要素認証が設定されていなかった、または部分的にしか適用されていなかった可能性が考えられます
- 約2か月半の潜伏期間中に監視が機能しなかった可能性: 10月の初期侵入から12月の発症まで攻撃者が学内で活動を続けた期間、通常運用と乖離したアクセスパターンや権限昇格の試行が発生していたはずですが、これを検知する監視が学内で機能していなかった可能性があります
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 学内関係者の「使い回しパスワード」を前提に設計する: 大学のアカウントは、教職員・学生ともに他サービスとのパスワード使い回しが発生しやすい特性があります。単一パスワードだけでVPNや基幹システムに到達できる設計は限界に来ており、少なくともVPN・特権システムへのMFA適用は不可避です。
2. 「初期パスワードのアルゴリズム」を情報流出リスクとして扱う: 本件では「生年月日から生成された初期パスワード」が流出可能性のある情報として挙がっています。初期パスワードを機械的に生成するアルゴリズムは、それ自体が個人情報と結びつく機密情報として扱う必要があります。生成ロジックの見直しと、初回ログイン時の変更強制が最低限の実装です。
3. 攻撃者は「役職・部門ごとの弱点」を狙って学内アカウントを選ぶ: 教職員と学生では扱える権限が異なり、攻撃者は目的（教育系サーバへのアクセス／研究系サーバへのアクセス／基幹系への横展開）に応じて悪用するアカウントの種別を選びます。訓練やアクセス制御も、役職・部門ごとのリアリティに合わせて設計する必要があります。
ヤグラの視点 — 訓練は「役職・部門ごとのリアリティ」で設計しないと効かない
Section titled “ヤグラの視点 — 訓練は「役職・部門ごとのリアリティ」で設計しないと効かない”大学は教職員・研究者・事務職員・学生・OB／OG が同じ認証基盤を共有する組織で、それぞれが受け取るメールの種類・扱う情報・アクセスできる権限が大きく異なります。画一的なフィッシング訓練を全員に配っても、実際の攻撃を模倣したものにはならない——教職員には人事・給与・査読関連のなりすまし、学生には奨学金・履修関連のなりすまし、というように、役職・部門ごとのリアリティを反映したシナリオでないと、訓練後のクリック率は下がっても、実際の攻撃には通用しません。本件のように学内関係者のアカウントが起点となる事案が示すのは、「誰の・どんな種類のリアリティに合わせて訓練を設計するか」がアカウント防御の要になるということです。→ ヤグラ アウェアネス
侵入経路の詳細・流出情報の外部公開状況・復旧完了時期について続報が出れば、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-07-30 | 初報を公開（Security NEXT 2026-03-05報道ベース） |