東京科学大に不正アクセス、統合当時の学生・教職員情報も漏えいの疑い

2026年9月7日、東京科学大学(旧東京工業大学と東京医科歯科大学が2024年に統合して発足)が不正アクセスによる情報漏えいの可能性を公表した。対象は現在の学生・教職員だけでなく、統合当時に在籍していた学生・教職員などの氏名・住所・メールアドレスを含む個人情報。大学は8月28日付で「情報セキュリティインシデント対策本部」を設置しており、公表までに約10日を要している。大学病院の患者情報については「漏えいを確認していない」としているが、影響範囲そのものは調査中で確定していない。

なぜ「統合当時のデータ」が狙われるのか #

この一件が示す本質的な問題は、大学統合が生んだレガシーデータの管理責任の所在だ。2024年の統合で旧2大学の学籍・人事システムは名寄せ・移行作業を経ており、統合済みシステムのどこかに旧システム由来の古い個人情報が塩漬けで残っていた可能性が高い。組織統合・M&A・システム移行の節目は、権限設計やアクセスログ監視が一時的に緩む「隙間」になりやすく、攻撃者はまさにそこを突く。ランサムウェア攻撃でも子会社・買収先のシステムが侵入起点になるケースは珍しくない。

大学が呼びかけた「不審なリンクを開かない」という注意喚起は、初期侵入がフィッシングメール経由だった可能性を示唆している。教育機関はメールアドレスの公開度が高く、職員・学生の入れ替わりも激しいため、標的型フィッシングの成功率が民間企業より高くなりがちという構造的弱点がある。

教育機関の情報漏えいが軽視されがちなリスク #

大学の個人情報漏えいは金融機関のそれと比べて「実害が小さい」と捉えられがちだが、氏名・住所・メールアドレスの組み合わせは名簿型フィッシングやなりすまし請求詐欺の材料として十分に機能する。特に統合前の卒業生・退職者は現在の大学からの連絡に慣れておらず、二次被害の標的として警戒心が薄い層でもある。

大学側は関係機関と連携して調査を継続するとしているが、影響範囲の確定と個別通知が今後の焦点になる。組織統合を控える企業・団体にとっても、システム移行時のアクセス権限の棚卸しと旧データの扱いを見直す契機と言える。