東北学院大学における不正アクセスおよびランサムウェアによる個人情報漏えい

東北学院大学は、2024年9月7日（土）に発生した不正アクセスとランサムウェア感染により、7,085件の個人情報が漏えいしたことを発表しました。

不正アクセスとランサムウェアの概要

• 2024年9月7日（土）：職員が利用していた業務用パソコンがランサムウェアに感染し、共有ドライブから業務データが不正にダウンロードされるとともに、個人情報が漏えいしました。その後、関連データおよび被害パソコンが利用不能となりました。
• 2024年9月9日（月）：事案が確認された後、被害拡大を防止するため、直ちにネットワーク遮断と職員アカウントの停止を実施しました。

不正アクセスの原因

被害パソコンが学外からアクセス可能なネットワーク上に設置されていたため、外部の攻撃者による標的となり、ユーザーIDとパスワードが窃取され不正侵入が行われたことが判明しています。

漏えいした個人情報の項目と件数

（1）学外者

• 漏えい対象者：システム構築・運用に関わる外部企業（システム関連企業）の関係者
• 漏えいしたデータ項目：システム構築体制表に記載の氏名、電話番号、メールアドレス等
• 漏えい件数：41社119名

（2）大学学生

• 漏えい対象者：東北学院大学の学部学生（卒業生を含む）
• 漏えいしたデータ項目：学生番号、成績情報（2023年度開講の1科目）、メールアドレス、氏名
  • ※以下の形式で漏えいが確認されており、個人と成績情報が直接紐づくものではありません
    • ① 学生番号＋成績（1科目）
    • ② メールアドレスのみ
    • ③ 学生番号＋氏名＋メールアドレス
    • ④ メールアドレス＋氏名
  • 漏えい件数：合計3,490名（うち成績情報漏えい対象者：3,071名）

（3）東北学院大学教職員

• 漏えい対象者：学校法人東北学院の法人事務局および設置学校に属する教職員
• 漏えいしたデータ項目：教職員番号、氏名、一部メールアドレス
  • ※以下の組み合わせで漏えいが確認されました
    • 教職員番号・氏名
    • 教職員番号・氏名（姓のみ等、一部情報欠損あり）
    • 過去在籍者の学生番号・氏名（全て無効化済）
    • 部署アカウント（管理上教職員として扱われていたもの）
  • 漏えい件数：合計3,476件