札幌国際大学のフィッシング被害、調査で不正なアプリ登録や自動転送を確認

項目	内容
発生・公表日	発生: 2026年7月9日以降 / 第一報: 7月12日 / 調査結果: 10月14日
対象組織・業界	札幌国際大学（札幌市清田区） / 大学
対象システム	大学のメールアカウント（Microsoft 365）、SharePoint・OneDrive
影響件数	不正アクセスを受けたアカウントは「複数」（件数は非公表）
攻撃手法	フィッシングメールから偽装サイトに誘導し、アカウント情報を取得
情報源	札幌国際大学公式（2026年10月14日） / 札幌国際大学公式（2026年7月12日） / ScanNetSecurity（2026年7月17日）

概要

札幌国際大学は2026年10月14日、メールアカウントの乗っ取り事案について調査結果を公表しました。セキュリティ専門ベンダーによるフォレンジック調査を終え、通常運用を再開しています。

発端は7月9日以降に届いたフィッシングメールです。学生と教職員が本文のURLから偽装サイトにアクセスし、メールアカウントを第三者に不正利用されました。

乗っ取られたアカウントは複数あり、学内外へ大量のフィッシングメールを送る踏み台になりました。大学は7月13日・14日の2日間、全科目を休講にしています。

調査では、一部のメールボックスへの不正なアクセスが見つかりました。不審なファイルの設置や、共有設定の変更の痕跡もありました。現時点で、個人情報の外部への流出は確認されていないと大学は説明しています。

フィッシングメールのURLから偽装サイトに誘導され、アカウント情報を盗まれたことが原因です。攻撃者はパスワード変更後も入り続けられるよう、不正なアプリとデバイスを登録していました。メールの自動転送も設定していました。

本件のように、攻撃者はパスワードを変更されても入り続けられるよう、別の入り口を残すことがあります。乗っ取りが分かったら、パスワードのリセットとあわせて、アカウントに登録されたアプリ・デバイス・転送設定を確かめます。

身に覚えのない登録は削除します。転送ルールも、利用者本人が作ったものかを確認します。ここまで済ませて初めて、攻撃者をアカウントから締め出せます。

本件で攻撃者が行った操作は、どれもクラウドのサービス上で完結しています。アプリやデバイスの登録、転送設定、SharePointやOneDriveへのファイル設置です。端末の監視だけでは、これらの操作は見えません。

そこで、メールやファイル共有サービスの監査ログから、設定変更の記録を拾います。転送ルールの作成やアプリの登録があれば、誰が確認し、どの条件でアカウントを止めるかを決めておきます。大学も、異常なアクセスを検知して遮断する仕組みを導入したとしています。

ただ、設定変更の多くは利用者の正規の操作です。不正かどうかは、直前のサインインの接続元などと突き合わせて判断します。AI SOCは認証やクラウドサービスのログを集め、関連するログの突き合わせまでをAIが一次調査として行います。（→ ヤグラ AI SOC）

判明次第、本記事に追記します。

日時	内容
2026-08-02	初稿公開（2026年7月12日公表事案のアーカイブ化）
2026-10-29	続報を反映（10月14日公表の調査結果。原因・不正な設定・再発防止策を追記し、全体を書き直し）