使われなくなって10年、放置サーバがランサムウェア被害に 学生情報4,627件流出のおそれ

10年前に「終わった」サーバが牙を剥いた #

大学向けの自己採点システムを提供していた教育ソフトウェアは、このサービスを2016年までに終えていた。ところが裏側で動いていたレンタルサーバは契約が解除されないまま残り、誰にも監視されずに10年近く放置され続けていた。2026年4月30日から5月1日にかけて、この「忘れられたサーバ」に第三者が侵入し、中のデータを暗号化。発覚したのは8月で、きっかけは自社の監視ではなく、サーバを提供していた契約会社からの連絡だったという。運用をやめた後もサーバ自体は生き続け、しかも異変に気づく仕組みが無かった点が事態を長引かせた。

攻撃者は「管理されていない資産」を探している #

セキュリティ担当者の視線は稼働中のシステムに向きがちだが、攻撃者はむしろ管理から外れた資産を好む。パッチも監視も止まった古いサーバは、脆弱性が塞がれないまま外部に露出し続ける「見えない攻撃対象領域」になるからだ。今回、流出のおそれがあるのは大学名・氏名・学籍番号の一部を含む顧客情報で、対象は4,627件。被害規模自体は大きくないが、「サービスをやめた」と「サーバを消した」は別物だと痛感させる事例だ。

サービス終了は「廃止」まで含めて一区切り #

クラウドでもレンタルサーバでも、サービス終了時にサーバやドメイン、APIキーを確実に廃止する手順が組織に根付いているかが問われている。教育ソフトウェアは今回、サーバの廃止に加えてセキュリティアップデートの監査体制強化を打ち出したが、いずれも被害後の対応だ。使われなくなった資産の棚卸しと、外部から見えている資産を定期的に洗い出す取り組みは、規模を問わずどの組織にも欠かせない基本動作だといえる。