近畿大、教員のGoogleドライブ操作誤りで薬学部1年生の個人情報が学生11人に意図せず共有 — 発覚まで約2カ月
| 項目 | 内容 |
|---|---|
| 発生日 | 2026年4月6日（誤設定日） |
| 対象組織・業界 | 近畿大学薬学部（教育機関） |
| 攻撃手法 | Googleドライブの共有権限設定ミス（教員の操作誤り） |
| 情報源 | Security NEXT（2026年7月8日） / ScanNetSecurity（2026年7月16日） |
近畿大学は2026年7月8日、薬学部教員がGoogleドライブの操作を誤り、薬学部1年生の個人情報を含む3ファイルを、意図せずゼミに所属する学生11人と共有していたことを公表しました。誤共有は2026年4月6日から始まっており、判明後に順次ファイルが削除されるまで約2カ月にわたって共有可能な状態が継続していました。
漏えいの可能性があった情報は、ファイルによって内容が異なりますが、氏名・学籍番号・入試時の点数・保証人の氏名／住所／電話番号など、極めて機微性の高い個人情報が含まれます。
- 2026年4月6日: 教員がGoogleドライブの共有設定を誤り、ゼミ所属学生11人に意図せずファイルを共有
- 対象ファイルは3ファイル:
- ファイル1: 薬学部1年生249人分の氏名・性別・メールアドレス・学科・学籍番号・在学期間・入試時の点数・出身校・評定・保証人の氏名／住所／電話番号
- ファイル2: 薬学部1年生213人の氏名・学籍番号・プレイスメントテストの結果
- ファイル3: 薬学部1年生11人の氏名・学籍番号・性別・メールアドレス・プレイスメントテストの結果・入試種別・出身高校
- 2026年6月10日: 3ファイルのうち2ファイルを削除
- 2026年6月24日: 残る1ファイルを削除（誤共有から削除完了まで約2カ月半）
- 2026年7月8日: 大学が公表
原因は教員によるGoogleドライブの操作誤りと説明されています。具体的にどの操作が誤りだったか（共有範囲の設定・リンク共有の権限設定・共有相手の追加ミス等）は詳しく公表されていません。
考えられる原因（推測）: (a) ゼミ用フォルダに他の用途のファイルを一時的に置き、ゼミ学生への共有権限が引き継がれてしまった、(b) 個別ファイルの共有設定と、親フォルダの共有設定の関係を誤解していた、(c) 共有相手を追加する際に「ゼミ全員」を誤ったコンテキストで選択してしまった——といったパターンが典型です。教員個人のリテラシー問題として片付けず、大学として教員のクラウド利用ガイドライン・設定チェックの仕組みがどうなっていたかが問われます。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 「入試点数」「保証人情報」の機微性
Section titled “1. 「入試点数」「保証人情報」の機微性”漏えいの可能性があった情報には、入試時の点数（本人の学力評価にダイレクトに紐づく）や保証人の氏名・住所・電話番号（本人以外の第三者情報）が含まれます。前者は学生本人にとって、他学生に知られたくない情報の代表格であり、後者は「本人の同意で預けた第三者情報」を大学が更に別の学生に漏らしたという構造になります。件数・情報種別の重み付けを慎重に扱う必要があります。
2. ゼミ学生への共有と授業運営の緊張関係
Section titled “2. ゼミ学生への共有と授業運営の緊張関係”大学のゼミ運営では、教員が資料や名簿をGoogleドライブでゼミ学生に共有する場面が日常的にあります。この便利さの裏返しとして、「うっかりゼミ全員にゼミ以外のファイルまで共有してしまう」リスクが常に隣り合わせにあります。共有設定の管理を教員個人に委ねるのではなく、大学として「学生への共有可能な情報種別」「保管フォルダの分離」「共有時のチェックリスト」を運用ルールに落とし込む必要があります。
3. クラウド設定監査の仕組み
Section titled “3. クラウド設定監査の仕組み”Googleドライブの共有設定は、閲覧側から通知が来ない・ダッシュボードで棚卸ししないと気づかない・共有された側が積極的に開かなければ発覚しない——という特性があります。共有設定の監査を管理者側で自動化する仕組み（外部ドメインへの共有、大量ファイルへの一括共有等の検知）が、こうした「気づけない誤設定」の早期発見に有効です。
ヤグラの視点 — 発見までの時間：「4/6から6/24まで」の意味
Section titled “ヤグラの視点 — 発見までの時間：「4/6から6/24まで」の意味”本件で最も重い事実は、誤共有が2026年4月6日に始まり、ファイル削除完了が6月24日であるという時間の長さです。発見・削除までの間、共有された学生11人はいつでも閲覧・ダウンロード・スクリーンショット取得ができる状態にあり、その痕跡を大学側が完全に把握することは事実上不可能です。
「漏えい範囲を最小化する」観点では、設定ミス発生から発見までの時間をどれだけ短くできるかが勝負を分けます。人手による棚卸しは、多忙な現場で数ヶ月に一度が精一杯で、日次・時間次でのチェックは現実的ではありません。ここでこそAIによる継続的な設定監査・アクセスパターン監視が意味を持ちます。ヤグラの AI SOC は、クラウドストレージのアクセスログ・共有設定変更ログを継続的に取り込み、「機微情報が意図しない相手に共有された可能性」を早期に検知することで、「4月から6月まで気づかなかった」という時間を短縮する助けになります。
近畿大学は該当ファイル3件の削除を完了しており、直接の漏えい範囲は特定済みですが、対象学生・保証人への個別通知の内容、および教員のクラウド利用ガイドライン・監査体制の見直しについての続報が注視されます。同大学のみならず、他大学における類似の運用リスクを含めて、教育機関全体で再点検が求められる事案です。
| 日時 | 内容 |
|---|---|
| 2026-08-03 | 初稿公開（7月8日の初報を基に、アーカイブ用に整理） |