東京大学、研究室サーバに不正アクセス——学外サーバ侵害から共同研究者アカウント奪取の連鎖で

項目	内容
発生日	公表なし（2026年3月10日時点で調査進行中）
対象組織・業界	東京大学（研究室サーバ）
攻撃手法	学外サーバ侵害からの共同研究者アカウント悪用による不正アクセス
情報源	Security NEXT（2026年3月12日）

概要

東京大学は、共同研究者が利用する学外サーバが不正アクセスを受け、そこで奪取された認証情報を悪用して同大の研究室サーバへの不正アクセスに至ったと公表しました。

同サーバを起点として、学内外の他のサーバに対しても不正アクセスが行われたことが確認されています。2026年3月10日時点で、機微情報や個人情報の流出・改ざんは確認されていません。同大は不審な通信を検知した後に当該サーバをネットワークから遮断し、警察および関係機関と連携して調査を進めています。

経緯

• 学外サーバの侵害（時期は公表なし）: 共同研究者の認証情報が奪取される
• その後: 東京大学の研究室サーバに対して不正アクセスが行われる
• 検知時: 不審な通信を検知し、当該サーバをネットワークから遮断
• 2026年3月10日時点: 機微情報・個人情報の流出や改ざんは未確認
• 2026年3月12日: Security NEXTが公表を報道

原因

「共同研究者の認証情報が学外サーバ侵害を通じて奪取され、それが東大側の不正アクセスに悪用された」との構造は公表されています。ただし、学外サーバ側の侵害経路、認証情報の奪取手口、その後の東大側での横展開の詳細は明らかにされていません。

考えられる原因（推測）

以下は公表事実から考えられる仮説であり、同大が公表したものではありません。

1. アカウント認証の悪用は攻撃検知を難しくする: 正規の共同研究者アカウントを使った不正アクセスは、認証ログ上は「正規ユーザーの通常アクセス」に見える構造にあります。IPアドレス・アクセス時間帯・アクセス範囲などの文脈情報と突き合わせない限り、機械的なルール検知では取りこぼされやすい類型です
2. 学外サーバ→学内サーバの信頼関係が「攻撃面」になった: 大学の研究室サーバは、共同研究のために学外の研究機関・企業サーバとの相互アクセスを想定した設計になっていることが多く、この「信頼された学外アクセス」が侵害された時点で、学内側の境界防御は迂回されます
3. 単一の起点から「学内外の複数サーバ」に到達している: 「同サーバを起点として、学内外のサーバに対しても不正アクセスが行われている」との公表は、東大側でも横展開が起きており、単純に「1台の研究室サーバの被害」ではない可能性を示します

対策

組織が学ぶべきこと

1. 「正規アカウントによる不正アクセス」を検知できる仕組みを持つ: アカウント認証を突破された時点で、境界防御・多要素認証・アクセス制御の多くは迂回されます。認証後の振る舞い——アクセスするファイルの種類・時間帯・ダウンロード量・接続元IPの変化——を継続的に見て、通常の業務パターンからの逸脱を検知する仕組みが、正規アカウントの悪用に対する現実的な打ち手です。

2. 相互アクセスの「信頼関係」を再点検する: 共同研究や委託研究の名目で、他組織のサーバ・アカウントからのアクセスを許可している経路は、相手側の侵害がそのまま自組織側の攻撃面になります。信頼関係の登録簿と、それぞれに許可されるアクセス範囲を、定期的に棚卸しする運用が必要です。

3. 一度侵害された経路と同じ手口を「次は取れる」状態にする: 本件のように「学外サーバ→アカウント奪取→学内サーバ」というパターンは、同一の攻撃者・別の攻撃者が繰り返す可能性のある構造化された手口です。今回の調査で得られた侵害の形跡・悪用された認証情報の特徴を、次回の類似アクセス検知に反映できる仕組みが、再発防止の質を決めます。

ヤグラの視点 — 同じ形の異常を、次は取れるか

大学の研究室のような「相互アクセスが前提のネットワーク」では、境界の内と外を線引きする発想だけでは守りきれません。一度検知した侵害の形——アカウント認証後の異常な振る舞い、学外サーバとの通信パターンの変化、通常アクセスしないファイルへの到達——を、組織固有の知識として次の検知に活かせるかが実務上の分岐点になります。同じ攻撃者が別の共同研究者アカウントで戻ってきたとき、あるいは別の攻撃者が同じ手口で入ってきたとき、前回の経験から検知精度を上げていける仕組みがなければ、監視は毎回ゼロからの人力調査になります。AIによる調査履歴のメモリ蓄積と、そこから得られた知見を検知ロジックに反映する運用が、反復性のある攻撃に対する現実解になります。→ ヤグラ AI SOC

今後の対応

侵入経路・悪用された認証情報の範囲・学内外の他サーバへの影響・情報流出の有無について続報が出れば、本記事に追記します。

更新履歴

日時	内容
2026-07-29	初報を公開（Security NEXT 2026-03-12報道ベース）