原因一部公表 不正アクセス情報の漏えい

委託先NECのクラウドストレージから第三者がファイルをダウンロード、大阪大学の関係者7万7,851人の個人情報が漏えい

このページの公開： ／ 最終更新： ／ 書いた人：インシデントレーダー編集部

この事件のまとめ

何が
国立大学法人大阪大学の全学教育用電子計算機システム（運用委託先 日本電気株式会社のクラウドストレージ）で、不正アクセス・情報の漏えい。
いつ
2026年10月21日に公表（発生・発覚は2026年9月26日）。
原因
一部公表：委託先・取引先から・設定のまちがい・公開範囲のまちがい。
影響
卒業生59,014名、在学生15,035名、教職員3,802名の情報、77,851件（漏えい確認）。

原因

原因一部公表 委託先・取引先から設定のまちがい・公開範囲のまちがい

公式の発表での原因
大学に報告のない協力会社が業務に関わり、委託先のNECが契約に基づかず個人情報入りのファイルをクラウドストレージで共有していた。作業後に消すべきファイルも残っており、第三者にダウンロードされた。
侵入の入り口
委託先NECが協力会社との情報共有に使っていたクラウドストレージ

影響

人数・件数
77,851件（卒業生59,014名、在学生15,035名、教職員3,802名）
注：現時点で確認された重複を除く人数
情報の種類
氏名、大阪大学個人ID、OUMailアカウント等のメールアドレス、学籍番号または職員番号、所属情報
漏えい
漏えい確認
二次被害
現時点で、本件が原因と考えられる漏えい情報の不正利用や二次被害は確認されていない。

使っている人がすること

公式の発表で、利用者に呼びかけていることです。

  • 漏えいした情報を悪用したフィッシングメールやなりすましメール等に十分注意する

運営する側が確かめること

この事件の原因の種類について、一般に言われている基本の確かめ項目です（この事件の会社の対策を推測したものではありません）。

委託先・取引先から

  • 個人データを預ける委託先を一覧にし、安全管理の状態を契約の前と定期的に確かめる
  • 契約に、安全管理の決まり・再委託の扱い・事故のときにすぐ知らせることを入れる
  • 委託先に渡すデータと権限を、仕事に要る分だけにする（終わったら消す・権限を外す）
  • 委託先とつながる接続（リモートの保守など）を一覧にし、使っていないものは止める

根拠の資料：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（委託先の監督）／IPA「中小企業の情報セキュリティ対策ガイドライン」

設定のまちがい・公開範囲のまちがい

  • クラウドの保存場所・共有のリンク・データベースが「誰から見えるか」を一覧にし、定期的に見直す
  • 初期の ID・パスワードや、試しのための設定のまま公開していないかを確かめる
  • 設定を変えるときは手順を決め、変えたあとに外から見えていないかを確かめる
  • エラーの画面に、内部の情報（ファイルの場所・設定の値）を出さない

根拠の資料：OWASP Top 10:2025「A02 Security Misconfiguration」／IPA「安全なウェブサイトの作り方」

経過

  1. 第三者により、個人情報を含むファイルがクラウドストレージからダウンロードされた。 ［出典s1］

  2. NECから大学へ、ダウンロードがあったとの報告があった。 ［出典s1］

  3. 大学が、委託事業者における個人情報漏えいとして公表した。個別の対象者には今後通知するとしている。 ［出典s1］

出典（公式の発表）

  1. ［s1］大阪大学「委託事業者における個人情報漏えいについて」（2026年10月21日）

この内容は2026年10月23日に公式の発表を確かめたものです。誤りに気づいたら訂正の申し出からお知らせください。

同じ原因の事件

委託先・取引先からの事件をすべて見る → 設定のまちがい・公開範囲のまちがいの事件をすべて見る →