福岡大 委託先「ノストラム」の就活対策サイトがランサム被害、学生最大3.3万人分の情報流出可能性

項目	内容
発生日	2026年4月17日に侵入、4月19日にサーバ停止確認
対象組織・業界	福岡大学（教育）／委託先「ノストラム」で発生
攻撃手法	委託先の就職活動対策サイトサーバへのランサム攻撃
情報源	Security NEXT（2026年7月21日）

概要

学生の就職活動対策——業務としては教育の周辺に見えますが、そこで集められる情報の粒度は中核的な個人情報以上に機微です。学籍番号は本人特定に直結し、模擬試験結果は「本人が受験時の学力・傾向」という、他では取れない情報を含みます。

2026年7月21日、福岡大学は、委託先の就職活動対策サイトの運営会社「ノストラム」でランサム被害が発生し、2023〜2026年度在籍者の学生情報最大3万3,668人分が流出した可能性があると公表しました。

経緯

• 2026年4月17日: 侵入（発覚後の調査で判明）
• 2026年4月19日: サーバ停止を確認
• 2026年7月21日: 公表（侵入から約3カ月）

公表までの3カ月間、大学側は詳細調査を進めていたと考えられます。

原因

侵入経路・原因は公表されていません。委託先のノストラム側で発生した事案のため、大学側から見れば「業務委託先の管理下」で発生した侵害です。

考えられる原因（推測）: 委託先の就活対策サイトサーバへのランサム攻撃では、(a) 委託先のリモート保守経路経由の侵入、(b) 委託先が使う認証情報の流出、(c) 委託先サーバの既知脆弱性放置、が典型パターンです。

影響を受けた情報

• 対象学生: 2023年度〜2026年度在籍者（4年分）
• 件数: 最大3万3,668人分
• 情報種別: 学籍番号、生年月日、模擬試験受験結果
• うち800人については氏名も含まれる
• 直接的な情報流出痕跡は発見されていないが、流出可能性は否定していない

対策

組織が学ぶべきこと

1. 委託先のセキュリティを「自社の説明責任」として扱う

本件で被害を受けたのは委託先ノストラムですが、対象学生と対峙する説明責任は福岡大学にあります。「委託先の問題です」で済まされない——これは業務委託全般に共通する原則です。委託先選定・契約・監査の段階で、セキュリティ要件を明文化する必要があります。

2. 「学籍番号＋模擬試験結果」の組み合わせの機微性

一般的な個人情報は「氏名・住所・連絡先」で語られますが、教育機関で「学籍番号＋成績」の組み合わせが漏えいすると、学内での本人特定・成績照会が可能になります。業種特有の情報の組み合わせが、汎用の個人情報以上のリスクを生む例です。

3. 「4年分の学生情報」というスケール

2023〜2026年度在籍者、つまり卒業生も含めた4年分のデータが対象になっています。卒業後の学生も影響を受ける——就職後に「元大学の就活対策サイトが侵害された」という連絡が来ることの意味は、卒業生からすれば不意打ちです。データの保持期間——就活対策のような時限的サービスのデータをいつまで保持するか——の設計が問われます。

4. 800人だけ氏名が含まれる、という部分的な情報の意味

「800人は氏名も含む」という粒度の情報開示は、対象者への警戒レベルの調整を可能にします。「自分は氏名も含まれる800人の中か、それとも他の3万3千人か」——この違いによって、対象者は自分のリスクレベルを判断できます。

ヤグラの視点 — 委託先を含む「報告文化」

セキュリティインシデントの発覚から対応までのスピードは、組織文化としての「報告」の質で決まります。委託先で異常を検知した現場担当者が、委託元にいかに早く報告できるか。委託元がその報告を組織的にエスカレーションできるか。

ヤグラの アウェアネス は、報告文化を組織内だけでなく、委託先を含む拡大チームで共有する運用を支援します。「クリック率でなく報告率をKPIに」の思想は、自社の従業員だけでなく、業務データを扱う全ての関係者に適用されるべきものです。

今後の対応

同大学は関係者への謝罪、文部科学省・個人情報保護委員会への報告済み。委託先の調査結果を待つ状況。

更新履歴

日時	内容
2026-07-28	過去アーカイブとして記事化（キュレーション）