大阪大学は2026年10月21日、教育用電子計算機システムの運用を委託しているNEC（日本電気）経由で、77,851人分の個人情報を含むファイルが第三者にダウンロードされたと発表しました。対象は卒業生・在学生・教職員で、本学から確認されている漏えい情報は氏名、阪大個人ID、大学のメールアドレス、学籍番号または職員番号、所属情報などです。現時点では不正利用や二次被害は確認されていないものの、大学はフィッシングメールやなりすましメールへの注意を呼びかけています。この記事では、公式発表にもとづいて事実関係と、対象となりうる方が取るべき行動を整理します（2026年10月21日の発表時点）。
何が起きたのか
大阪大学の発表によると、経緯は次のとおりです。
| 時期 | 内容 |
|---|---|
| 2026年9月26日 | 第三者により、大学の個人情報を含むファイルがダウンロードされた |
| 2026年10月9日 | 委託先のNECから大学へ、ダウンロードがあった旨の報告 |
| その後の調査 | 大学に報告されていない協力会社が業務の一部に関わっていたことが判明 |
| 2026年10月21日 | 大学が公表 |
調査では、NECが大学との契約に基づかず、協力会社との情報共有のために個人情報を含むファイルをクラウドストレージ上で共有していたことが確認されました。さらに、作業終了後に削除すべきそのファイルを保持していたことも確認され、これらのファイルが第三者にダウンロードされたと説明されています。
NECによる調査では、大学の全学教育用電子計算機システムそのものへの不正アクセスの痕跡は確認されていません。つまり、大学のシステムが破られたのではなく、委託先が共有していたファイルが流出した事案です。
漏えいした情報と対象者は
現時点で確認されている漏えい対象者は、重複を除いて77,851人です。内訳は次のとおりです。
| 区分 | 人数 |
|---|---|
| 卒業生 | 59,014名 |
| 在学生 | 15,035名 |
| 教職員 | 3,802名 |
漏えいした情報の項目は対象者によって異なります。主な項目は、氏名、大阪大学個人ID、大学が付与するメールアドレス（OUMailアカウントなど）、学籍番号または職員番号、所属情報です。大学は、個別の対象情報について今後通知するとしています。
発表文には、パスワードやクレジットカード情報が漏えいしたという記載はありません。ただし、ここに書かれているのは「主な情報」で、全項目の網羅とは明記されていません。自分が対象かどうか、どの項目が含まれるかは、大学からの個別通知で確認する必要があります。
NECも別の発表で委託先経由の被害を公表
NECは10月20日、同社がシステム開発・保守を委託している企業が9月下旬にサイバー攻撃を受けたと発表しました。窃取された正規アカウントの認証情報が悪用され、NECの顧客において、不正アクセスによる被害や、個人情報を含む情報の漏えいが確認されたといいます。発表文は大阪大学を名指ししていませんが、被害の内容として次の2点を挙げています。
- 顧客のシステム環境に、委託先の端末から正規アカウントを使った不正アクセスが行われ、サーバ内のファイルが暗号化されて各種システムが使えなくなった
- NECが作成し、顧客・NEC・委託先などの間で情報共有に使っていたクラウドストレージ内のファイルが漏えいし、顧客の個人情報やシステム関連情報が含まれていた
NECは、漏えいした個人情報の詳細を判明次第、各顧客に報告するとしています。なお、大阪大学の件とこのNECの発表が同一の事案かどうかは、双方の発表文に明記されていません。この記事では両者が同じ事案だと断定せず、並べて紹介しています。
対象となりうる方が今すぐ確認したいこと
大学は、漏えいした情報を悪用したフィッシングメールやなりすましメールに十分注意するよう求めています。漏えいした項目に氏名と大学のメールアドレスが含まれるため、次の点を意識すると被害を防ぎやすくなります。
1. 大学を名乗るメールのリンクを開かない
大学や事務局、NECを名乗り、ログインやパスワード変更、個人情報の入力を求めるメールは、まず疑ってください。リンクからではなく、大学の公式サイトに自分でアクセスして確認するのが安全です。
2. 大学からの個別通知を待つ
自分が対象かどうかは、今後の個別通知で伝えられます。通知を装った偽メールも出回りやすいため、通知の内容と大学の公式発表の内容が合っているかを確かめてください。
3. 不審な連絡があれば問い合わせる
問い合わせ先は、大阪大学 情報推進部情報基盤課です。受付フォームは公式発表のページに掲載されています。
今回の発表で注目したい点
大学は発表の中で、報告されていない協力会社が業務に関与していたこと、そしてNECが契約に基づかずに個人情報を含むファイルを共有・保持していたことを「重大な問題」としています。委託先管理の甘さが流出につながった構図で、大学は原因究明と再発防止策の徹底をNECに求める方針です。
委託先や再委託先を経由した情報漏えいは、当サイトでも直近で取り上げています。同じ構図の事案として、あわせてご覧ください。
よくある質問
Q. 卒業生も対象になりますか
はい。公式発表では、対象者の内訳に卒業生59,014名が含まれています。対象かどうかは個別の通知で伝えられる予定です。
Q. 二次被害は確認されていますか
2026年10月21日の発表時点では、本件に起因すると考えられる不正利用や二次被害は確認されていないとされています。
Q. 大阪大学のシステムが不正アクセスを受けたのですか
NECの調査では、大学の全学教育用電子計算機システムへの不正アクセスの痕跡は確認されていません。ファイルは委託先が管理していたクラウドストレージ上で第三者にダウンロードされたと説明されています。
まとめ
大阪大学は、委託先のNEC経由で最大77,851人分の氏名やメールアドレスなどが流出したと発表しました。二次被害は確認されていませんが、氏名と大学のメールアドレスの組み合わせはフィッシングに使われやすい情報です。大学を名乗るメールのリンクは開かず、個別通知や続報は公式サイトで確認してください。状況は今後更新される可能性があります。
出典：大阪大学「委託事業者における個人情報漏えいについて」（2026年10月21日）
元記事URL：https://www.osaka-u.ac.jp/ja/news/topics/2026/10/21004
参考：日本電気「委託先への不正アクセスに起因するお客さまのシステム障害、情報漏えいに関するお詫び」（2026年10月20日）
URL：https://jpn.nec.com/news/info/20261020.html
コメント