佐賀大学、事務情報システムのNASがランサムウェア被害 — 教職員・学生のID・パスワードが流出した可能性、事務用端末約500台を3日間停止
| 項目 | 内容 |
|---|---|
| 発生日 | 被害の確認: 2026年9月24日8時42分頃 |
| 公表日 | 2026年9月25日（第一報）／2026年9月28日（認証情報の流出の可能性） |
| 対象組織・業界 | 国立大学法人佐賀大学（佐賀市本庄町／国立大学） |
| 影響件数 | 件数は公表されていません。学内システムへのログインに使う教職員・学生のユーザー認証情報が流出した恐れがあると公表されています。認証情報が使用された被害は確認されていません |
| 攻撃手法 | ランサムウェアによる事務情報システムのNAS内ファイルの暗号化。感染経路、ランサムウェアの種類、身代金要求の有無は公表されていません |
| 情報源 | 佐賀大学「事務情報システムにおけるランサムウェア被害の発生について」（2026年9月25日・saga-u.ac.jp）、佐賀新聞（2026年9月25日）、佐賀新聞（2026年9月28日）、ITmedia NEWS（2026年9月28日）、ScanNetSecurity（2026年9月30日） |
国立大学法人佐賀大学（佐賀市本庄町／国立大学）は2026年9月25日、事務情報システムの一部でランサムウェアによる被害が発生したと公表しました。
被害を受けたのは、事務部門が利用するNAS（ネットワーク接続型ストレージ）です。2026年9月24日8時42分頃、事務部門から「NAS内のファイルが暗号化されている」と連絡があり、大学のセキュリティ対応チームが被害を確認しました。大学は該当するNASをネットワークから隔離し、関係部署への聞き取りと影響範囲の調査を進めたうえで、同日16時45分に事務用端末の利用を停止しました。停止した端末は約500台と報じられています。
事務用端末は9月27日11時3分に利用を再開し、翌9月28日から通常業務に戻っています。教育・研究・診療業務に関係するシステムへの影響は、現時点で確認されていません。
9月28日、大学は学内システムへのログインに使う教職員・学生のユーザー認証情報が流出した恐れがあると公表しました。あわせて、全教職員・学生にパスワードの変更を指示しています。流出した恐れのある件数は公表されていません。公表時点で、認証情報が使用された被害は確認されていないとしています。
感染経路、ランサムウェアの種類、身代金要求の有無は公表されていません。大学は感染経路と情報流出の可能性について調査を続けています。
- 2026年9月24日8時42分頃: 事務部門から、事務情報システムのNAS内のファイルが暗号化されていると連絡。大学のセキュリティ対応チームがランサムウェアによる被害とみられる状況を確認
- 2026年9月24日: 被害の拡大を防ぐため、該当するNASをネットワークから隔離。関係部署への聞き取りと影響範囲の調査を実施
- 2026年9月24日16時45分: 事務用端末の利用を停止（約500台と報じられる）
- 2026年9月25日: 大学が「事務情報システムにおけるランサムウェア被害の発生について」を公表
- 2026年9月27日11時3分: 事務用端末の利用を再開
- 2026年9月28日: 通常業務を再開。あわせて、教職員・学生のユーザー認証情報が流出した恐れがあると公表し、全教職員・学生にパスワードの変更を指示
1. 認証情報の流出も想定して対応する
Section titled “1. 認証情報の流出も想定して対応する”ランサムウェア被害では、ファイルの暗号化だけでなく、認証情報などが持ち出されている可能性も考える必要があります。
今回、佐賀大学は教職員・学生にパスワード変更を指示しました。被害発生時に、管理者アカウントの無効化や利用者へのパスワード変更をどの順番で進めるか、あらかじめ決めておくことが重要です。
2. システム停止を前提に復旧手順を決めておく
Section titled “2. システム停止を前提に復旧手順を決めておく”今回は被害拡大を防ぐため、約500台の事務用端末が一時的に利用停止となりました。
ランサムウェア発生時には、感染した機器だけでなく、影響範囲を確認するため周辺の端末やシステムも止める場合があります。停止できる範囲や業務への影響、復旧する順番を事前に整理しておけば、封じ込めと業務再開を進めやすくなります。
ヤグラの視点 — 暗号化を「最初の異常」にしない
Section titled “ヤグラの視点 — 暗号化を「最初の異常」にしない”今回、被害が表面化したきっかけはNAS内のファイルが暗号化されていたことでした。
重要なのは、暗号化された時点だけを見るのではなく、その前後に発生する認証やファイルアクセス、端末間通信などの変化も監視することです。普段と異なるアカウントからのアクセスや大量のファイル操作などを検知できれば、被害の拡大を早い段階で把握できる可能性があります。
端末やアカウントが多い環境では、すべてのログを人手で確認するのは困難です。AIなどを活用して複数のログから異常な動きを絞り込み、担当者が優先して調査できる仕組みを整えることも有効です。
今後は、感染経路やランサムウェアの種類に加え、ユーザー認証情報が実際に流出したのか、暗号化されたNASにどのような情報が保存されていたのかが焦点になります。
大学が公表する調査結果や再発防止策について、新たな情報が判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-10-01 | 第一報を公開 |
