佐賀大学でランサムウェア被害、約8万人分の個人情報が流出の可能性｜パスワードや傷病名も、患者情報は調査中

佐賀大学は2026年10月30日、事務部門のシステムがランサムウェアの被害を受け、学生や教職員など約80,000人分の個人情報が外部へ流出した可能性があると公表しました。患者情報も対象に含まれますが、その件数は調査中です。

流出の可能性がある情報には、氏名や住所に加えてパスワードと、診療科・傷病名・受診日などの要配慮個人情報が含まれています。

対象は学生・教職員など約80,000人分、患者情報は調査中

項目	内容
対象者	学生、教職員、元学生、元教職員、関係者など約80,000人分
患者情報	調査中（件数は未公表）
流出の可能性がある情報	氏名、生年月日、性別、住所、電話番号、メールアドレス、パスワード
要配慮個人情報	診療科、傷病名、受診日など

要配慮個人情報は、病歴など、本人への不当な差別や偏見につながるおそれがあるとして、個人情報保護法で特に慎重な扱いが求められる情報です。発表では、どの情報がどの対象者に当てはまるのかまでは区別されていません。パスワードが何のシステムのものか、どのような形で保存されていたかも書かれていません。

被害が見つかったのは、事務部門が使うNAS（ネットワーク接続型のストレージ）です。

日時	できごと
2026年9月24日（木）8時42分	事務部門のNASで、ランサムウェアによるとみられる被害を確認。CSIRTを中心に初動対応を開始し、文部科学省などへ報告、警察に相談
2026年9月27日（日）11時3分	事務用端末の利用を再開
その後	外部の専門事業者に依頼し、感染経路と影響範囲を調査
2026年10月30日	個人情報が外部へ流出した可能性を公表

感染経路は公表されていません。佐賀大学は調査を続け、情報セキュリティ対策を強化して再発防止を図るとしています。対象者への個別連絡の予定や、利用者に向けた注意喚起は、今回の発表には書かれていません。

大学でのランサムウェア被害は、ほかにも続いています。大阪公立大学の件はこちらの記事にまとめています。

ここからは公式発表には書かれていない、筆者の見解です。

パスワードの使い回しを見直す：佐賀大学のシステムで使っていたパスワードと同じものをほかのサービスでも使っている場合は、そちらを変えておく
大学や病院を名乗る連絡に注意する：受診歴や在籍していた事実に触れた連絡でも、そのまま信用せず、大学や病院の公式サイトに載っている窓口に自分で問い合わせて確かめる
続報を確認する：患者情報の件数や、対象者への連絡方法は今後の発表を待つ必要がある