関西学院大学、非常勤講師が授業に使った学外SNSの公開設定不備で学生1,448名の情報が閲覧可能に — 対象は2011年度以降の3科目、外部からの公益通報で発覚

2026/09/25 16:09 全容判明中程度教育・研究 #設定不備

項目	内容
発生日	閲覧可能な状態がいつから続いていたかは公表されていない。対象となった授業は2011年度から2026年度にかけて実施されたもの
公表日	2026年9月1日（報道は2026年9月24日）
対象組織・業界	関西学院大学（学校法人関西学院／兵庫県西宮市・kwansei.ac.jp／教育・研究）。情報が置かれていたのは大学とは無関係の外部SNSサービス「hyocom（ひょこむ）」
影響件数	1,448名。内訳は「サイバー社会入門」（理学部／2024〜2026年度）158名、「サイバー社会論」（総合政策学部／2011〜2026年度）854名、「情報社会と人間」（2015年度・2020〜2025年度）436名。対象情報は氏名、学生番号、プロフィール情報（顔写真、出身地・居住地の自治体、血液型、生年月日、趣味、自己紹介など）、成績評価、学生が作成・提出した資料（レポート・発表資料等）、学生および教員が投稿した文章・コメント、活動報告その他授業運営に関連する情報
攻撃手法	攻撃なし。非常勤講師が授業運営に利用していた外部SNSサービスで、公開設定および公開範囲の管理が適切に行われていなかった
情報源	関西学院大学「学生の個人情報が閲覧可能な状態にあったことに関するお詫びとお知らせ」（2026年9月1日）、ScanNetSecurity（2026年9月24日）

概要

関西学院大学（学校法人関西学院／兵庫県西宮市・kwansei.ac.jp）は2026年9月1日、非常勤講師が授業運営のために利用していた外部SNSサービス「hyocom（ひょこむ）」において、学生の個人情報が外部から閲覧可能な状態にあったと公表しました。対象となった学生は1,448名です。

hyocom は大学が契約・提供しているシステムではなく、大学とは無関係の外部サービスです。当該非常勤講師がこのサービスを授業の運営に使い、公開設定および公開範囲の管理が適切に行われていなかったため、授業のために登録・投稿された情報が閲覧できる状態になっていました。

閲覧可能だった情報には、氏名や学生番号のほか、顔写真・出身地や居住地の自治体・血液型・生年月日・趣味・自己紹介といったプロフィール情報、成績評価、学生が作成・提出したレポートや発表資料、学生および教員が投稿した文章・コメントが含まれます。対象科目は「サイバー社会入門」（理学部）、「サイバー社会論」（総合政策学部）、「情報社会と人間」の3科目で、最も古いものは2011年度にさかのぼります。

本件は2026年7月、外部から大学の公益通報受付窓口に寄せられた情報提供によって発覚しました。大学は発覚後ただちにアクセス制限の措置をとり、対象者への説明と謝罪を行うとともに、個人情報保護委員会および文部科学省へ報告したとしています。

経緯

2011年度: 対象科目のうち最も古い「サイバー社会論」（総合政策学部）が実施される。以降、2026年度までの各科目で外部SNSサービス「hyocom」が授業運営に使われる
2026年7月: 外部から大学の公益通報受付窓口に情報提供があり発覚。大学はただちにアクセス制限の措置を実施
2026年9月1日: 大学が「学生の個人情報が閲覧可能な状態にあったことに関するお詫びとお知らせ」を公表。対象者への説明と謝罪、個人情報保護委員会および文部科学省への報告を実施したと説明
2026年9月24日: 報道により事案が広く知られる

原因

大学の公表によると、非常勤講師が授業運営のために大学とは無関係の外部SNSサービスを利用し、そのサービス上で公開設定および公開範囲の管理が適切に行われていなかったことが原因です。

公開可能な状態がいつから続いていたのか、実際に第三者による閲覧があったのか、また大学が当該サービスの利用を事前に把握していたのかは、いずれも公表されていません。

対策

1. 授業や業務で使う学外サービスを、事前の申請・承認の対象にする

大学は再発防止策として、授業における学外サービスの利用ルールの見直しと、利用時の事前確認および承認手続の整備を挙げています。

組織が契約していないサービスに個人情報を置くと、公開範囲は利用する個人の操作だけで決まり、組織の側から設定状態を確認する手段がありません。学外サービスの利用に申請と承認を必須にしておけば、承認されていないサービスへ個人情報を登録すること自体が手順の上で止まります。今回のように、大学の管理外にあるサービスへ10年以上にわたって学生の情報が蓄積されていく状態を避けられます。

2. 公開範囲は投稿ごとではなく、アカウントやグループの単位で閉じる

外部のSNSやコミュニティサービスは、初期設定が公開であったり、投稿のたびに公開範囲を選ぶ設計であったりします。投稿単位で判断する運用では、1回の設定漏れがそのまま外部公開につながります。

やむをえず外部サービスを使う場合は、アカウントやグループの単位で外部からの閲覧を遮断し、そのうえで投稿を行う形にします。公開範囲の判断が投稿のたびに発生しなくなるため、1回の操作ミスが登録済みの全データの露出につながる事態を防げます。

3. 組織の情報が外部から見えていないかを、自分たちで定期的に確認する

今回の事案は、外部から公益通報受付窓口に寄せられた情報提供で発覚しました。対象科目には2011年度のものが含まれており、大学が自ら気づく仕組みは働いていなかったと考えられます。

組織名や所属名、学生番号や社員番号の表記形式といった、自組織に固有の文字列を検索サイトや主要な外部サービスで定期的に検索し、公開されるはずのない情報が出ていないかを確認します。外部からの指摘を待つのではなく自分たちで見つけられれば、情報が露出している期間をそのぶん短くできます。

今後の対応

閲覧可能な状態がいつから続いていたのか、また実際に第三者による閲覧や情報の二次利用があったかどうか
対象者1,448名への個別の連絡状況と、調査によって件数が動くかどうか
個人情報保護委員会および文部科学省への報告を受けた対応
大学が整備するとしている学外サービスの事前確認・承認手続の具体的な内容

判明次第、本記事に追記します。

更新履歴

日時	内容
2026-09-25	第一報を公開