日本大学法学部、教職員1名のメールアカウントがフィッシングで乗っ取られ3,177件の不審メールを送信 — 受信箱の内容は閲覧可能な状態に
| 項目 | 内容 |
|---|---|
| 発生日 | 2026年8月3日15時30分頃にフィッシングメールを受信しアカウント情報が窃取される。検知は8月7日17時50分頃 |
| 公表日 | 2026年8月25日（報道は2026年8月28日） |
| 対象組織・業界 | 日本大学法学部（教育・研究） |
| 影響件数 | 公表されていない。乗っ取られたのは教職員1名のアカウント。送信された不審メールは3,177件で、宛先は連絡先に登録されていた学内外のメールアドレス。メールボックス内のすべての内容が閲覧可能な状態だった |
| 攻撃手法 | 外部からのフィッシング攻撃によりメールアカウントの認証情報を窃取され、第三者に不正利用された |
| 情報源 | 日本大学法学部「不正アクセスによる迷惑メール発信に関するおわびと御報告」（2026年8月25日）、ScanNetSecurity（2026年8月28日） |
日本大学法学部は2026年8月25日、同学部の教職員1名のメールアカウントが外部からのフィッシング攻撃により第三者に不正利用され、多数の不審メールが送信されたと公表しました。
2026年8月3日15時30分頃にフィッシングメールを受信してアカウント情報が窃取され、8月7日17時50分頃に不正アクセスを検知しています。検知後は直ちにアカウントの利用停止、パスワードの変更、メール送信の遮断を実施しました。
送信された不審メールは3,177件で、宛先は連絡先に登録されていた学内外のメールアドレスです。あわせて、第三者がメールボックス内のすべての内容を閲覧可能な状態であったため、保存されていた個人情報の漏えいの可能性は否定できないとしています。現時点で個人情報漏えいによる二次被害は確認されていません。
同学部は個人情報保護委員会および文部科学省へ報告し、再発防止策としてパスワード管理の厳格化、多要素認証の導入推進、情報セキュリティ教育の再徹底を挙げています。対象者への連絡については、メールボックス内の情報が膨大で、対象となるすべての方の特定や個別の連絡が困難であるとして、公表をもって連絡に代えるとしています。
- 2026年8月3日15時30分頃: 教職員1名がフィッシングメールを受信し、アカウント情報を窃取される
- 2026年8月7日17時50分頃: 不正アクセスを検知。直ちにアカウントの利用停止、パスワードの変更、メール送信の遮断を実施
- その後: 個人情報保護委員会および文部科学省へ報告
- 2026年8月25日: 日本大学法学部が公表。対象者の特定が困難なため、公表をもって個別連絡に代えるとする
- 2026年8月28日: 報道により広く伝えられる
判明している事実: 教職員1名が外部からのフィッシング攻撃を受け、メールアカウントの認証情報を窃取されたことです。フィッシングメールがどのような偽装を用いていたか、窃取された認証情報がどのように使われたか、閲覧された可能性のある個人情報の件数は、いずれも公表されていません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”再発防止策に「多要素認証の導入推進」が挙げられていることから、この教職員のアカウントには多要素認証がかかっていなかったと読めます。認証情報を渡してしまった時点で、そのまま入られる構成だったことになります。
被害の広がり方は2つの方向に分かれています。外向きには、連絡先に登録されていたアドレスへ3,177件が送られました。これは受け取る側から見ると、教職員本人のアドレスから届いたメールです。内向きには、メールボックスの中身が閲覧可能な状態でした。同学部が「情報が膨大」と表現しているとおり、大学の教職員のアカウントには、学生、卒業生、外部の研究者や取引先とのやりとりが年単位で蓄積します。
8月3日の窃取から8月7日の検知まで4日あります。この間に何が起きたかは公表されていませんが、3,177件の送信が始まったことが検知の契機になった可能性があります。送信という目立つ動きがなければ、認証を通ったアクセスは記録の上では正常なログインとして残ります。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 認証情報を渡してしまった後で止まる仕組みを、メールアカウントに入れる
Section titled “1. 認証情報を渡してしまった後で止まる仕組みを、メールアカウントに入れる”再発防止策に多要素認証の導入推進が挙がっています。フィッシングは受け取る人が判断を誤る前提で考える必要があるので、誤ったあとに止まる層が要ります。全システムへの一斉導入は時間がかかりますが、メールアカウントは優先度が高い部類です。乗っ取られた場合に外向きの送信と受信箱の閲覧が同時に成立するためで、今回の被害の形がそのまま理由になります。
2. 受信箱に何年分たまっているかを、事前に把握する
Section titled “2. 受信箱に何年分たまっているかを、事前に把握する”同学部は対象者の特定が困難だとして、個別連絡ではなく公表で代えています。メールボックスの中身が把握できていない状態では、漏えいしたときに誰へ連絡すべきかも決められません。古いメールの自動削除、添付ファイルの共有場所への移動、退職者アカウントの整理といった運用があるかどうかが、そのまま通知できる範囲を左右します。
3. 送信の急増を、異常として拾えるようにする
Section titled “3. 送信の急増を、異常として拾えるようにする”3,177件は、通常の業務では起きない送信量です。メールの送信数は組織側で記録が取れるので、時間あたりの通数にしきい値を置いて通知させれば、内容を見なくても気づけます。今回は検知まで4日かかっていますが、送信が始まってから気づくまでの時間は、この種のしきい値で縮められます。
ヤグラの視点 — 役職別・部門別のリアリティ：同じ大学で、狙われる相手が変わっている
Section titled “ヤグラの視点 — 役職別・部門別のリアリティ：同じ大学で、狙われる相手が変わっている”日本大学では2026年7月にも、在学生・卒業生あわせて9名のメールアカウントが乗っ取られ、17,864件の迷惑メール送信の踏み台になった事案が公表されています。今回狙われたのは学部の教職員で、届いたのは「巧妙に偽装された」フィッシングメールでした。同じ組織の中で、対象と手口が入れ替わっています。
学生に届くフィッシングと、教職員に届くフィッシングは、装う中身が違います。学生向けなら履修や奨学金、教職員向けなら学内システムの認証期限や事務手続きの通知——本人が普段受け取っているものに似せるほど通りやすくなるので、攻撃側は相手に合わせて文面を変えてきます。全員に同じ訓練メールを配る方式では、この差が埋まりません。クリック率が下がったように見えても、それは配った1種類のシナリオに慣れただけということが起こります。
そして題材の種類は増え続けています。生成AIが広まって以降、不自然な日本語で見分ける手がかりは消え、入口もメール一本から、SMS、電話、Web上の偽画面へと広がりました。インシデントの原因の74%が人的要因という比率は変わらないまま、騙し方だけが多様になっています。部門ごと・立場ごとに違う題材を、最新の手口を反映した形で、運用の手間をかけずに配り続けられるかどうか。訓練を年中行事として回すのではなく、そこを見直す段階にあります（→ ヤグラ アウェアネス）。
- 閲覧された可能性のある個人情報の件数と内容
- フィッシングメールの手口の詳細
- 多要素認証の導入範囲と時期
- 3,177件の不審メールを受け取った側での二次被害の有無
判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-08-31 | 2026年8月25日の公表内容および2026年8月28日の報道をもとに記事を公開 |