千葉大、学生のMicrosoft 365アカウント4件に海外から不正アクセス——短時間で630件の迷惑メール送信、レポート等が閲覧される
| 項目 | 内容 |
|---|---|
| 発生日 | 2026年1月30日検知、2026年4月23日公表 |
| 対象組織・業界 | 国立大学法人千葉大学 |
| 攻撃手法 | フィッシング攻撃によるアカウント情報詐取、またはパスワードリスト攻撃（同校見解） |
| 情報源 | Security NEXT（2026年4月23日） |
国立大学法人千葉大学は、学生のMicrosoft 365アカウント4件が海外IPアドレスから不正アクセスを受けたと2026年4月23日に公表しました。同校では、1つのアカウントから短時間に630件のメール送信を検知したことを端緒に、事象を把握しました。
- 不正アクセス対象アカウント: 4件（すべて学生）
- 送信された迷惑メール数: 合計 1,301件
- 個人情報流出の可能性: 学生 47人・教員1人 の氏名を含む授業レポート等
- 3アカウント分については共有フォルダ閲覧の可能性
原因はフィッシング攻撃によるアカウント情報の詐取、または外部で入手されたパスワードを用いたパスワードリスト攻撃の可能性が高いとされています。機密情報の流出はないと報告されています。
- 2026年1月30日: 1つのMicrosoft 365アカウントから短時間に630件のメール送信を検知
- 検知後: 対象4アカウントを停止、影響を受けた学生に説明・謝罪
- 2026年4月23日: 公式に公表
検知から公表まで約3ヶ月の期間があり、影響範囲の特定・被害者への個別対応を経ての公表となっています。
同校の見解として、フィッシング攻撃によるアカウント情報の詐取、または外部で入手したパスワードを用いたパスワードリスト攻撃の可能性が高いとされています。不正ログインはいずれも海外IPアドレスから行われていました。
考えられる原因（推測）
Section titled “考えられる原因（推測）”以下は公表事実から考えられる仮説であり、千葉大学が公表したものではありません。
- 教育機関特有のパスワード再利用リスク: 学生は複数のオンラインサービスで同一パスワードを使い回す傾向が強く、他サービスの流出データを使ったクレデンシャルスタッフィングの成功率が高い
- MFA未適用アカウントの残存: Microsoft 365の学生アカウントでMFAが必須化されていなかった、または回避可能な設定が残っていた可能性
- フィッシング経由のリアルタイム認証突破: 学生向けフィッシングサイトでID/パスワードを窃取し、その場でセッションを取得する手口
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 教育機関のアカウント管理の難しさ: 数千〜数万人規模の学生・教職員アカウントを扱う教育機関では、パスワードポリシーの徹底・MFA必須化・不審ログインの継続監視の難易度が企業とは異なります。学生の入れ替わり、多様な端末環境、海外からの正規アクセスの多さがベースラインを難しくしています。
2. 「大量メール送信」を初期シグナルとする検知: 本件では「短時間に630件のメール送信」という異常が検知のきっかけになりました。アカウント乗っ取りの発見ポイントとして、送信メール数・宛先の多様性・送信元IPの地理情報は極めて有効なシグナルです。この検知ルールが機能したことが、被害拡大を4アカウントで止めた要因といえます。
3. 学生レポート・共有フォルダの整理: 授業関連の共有フォルダに、学生の氏名・成績・レポートが蓄積されているケースは教育現場で一般的です。共有範囲・保管期間・アクセス権の定期見直しがなければ、乗っ取り1件からの情報流出が予想以上に広がります。
ヤグラの視点 — 影響範囲の自動調査、「同じフィッシングメールが誰に届いたか」を数分で答える
Section titled “ヤグラの視点 — 影響範囲の自動調査、「同じフィッシングメールが誰に届いたか」を数分で答える”本件の学びは、アカウントが1つ乗っ取られたとき、それが「学生1人の問題」で終わらないという構造にあります。1,301件の迷惑メールが送信され、学生47人・教員1人の氏名が閲覧される——これは1つのアカウントが「他者への攻撃踏み台」として使われた典型例です。乗っ取りに気づいたあと、企業や大学が最初にやるべきは、「同じフィッシングメールを踏んだ可能性のある人が他にどれくらいいるか」を数分で洗い出すことです。人手で全員のメール履歴・ログを追うのは非現実的で、AIがメール本文・送信元・URL・過去の類似攻撃を横断で分析し、「同じ経路で騙されている可能性のある人」を自動抽出する仕組みが、二人目・三人目の被害者を止める鍵になります。教育機関・大人数組織ほど、この「影響範囲の自動調査」の価値が跳ね上がります。（関連: PhishAI）
再発防止策の実装状況（MFA必須化・パスワードポリシー強化）、影響を受けた学生・教員への個別対応の完了状況、他の不正アクセス事象の有無に関する続報を注視し、判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-04-23 | 第一報を公開 |