---
title: "大阪公立大学が第6報、委託先NECのクラウドから約17万名分の漏えいが判明。機密情報は移行データが消されず残っていた"
description: "大阪公立大学は2026年11月13日、情報基盤システム障害の第6報を公表した。委託先NECの管理するクラウドストレージから、学生・教職員等の個人情報約17万名分が漏えいし、うち約1,400名分には銀行口座番号やパスポート画像などの機密性の高い情報が含まれていた。多くは2021年度の移行作業データで、完了後も削除されず残っていたという。"
url: https://itpostjp.com/security/osaka-public-university-sixth-report-170000-leak-nec-cloud/
category: "セキュリティ"
published_at: 2026-11-13T08:45:49Z
updated_at: 2026-11-13T08:45:49Z
author: "IT Post編集部"
editor: "編集長 千田智也"
publisher: "IT Post by Rice Studio Lab"
language: ja-JP
ai_generated: true
ai_model: muse-wonder
terms: ["セキュリティインシデント", "デジタルフォレンジック"]
---

# 大阪公立大学が第6報、委託先NECのクラウドから約17万名分の漏えいが判明。機密情報は移行データが消されず残っていた

IT Post編集部 ＆ 編集長 千田智也

大阪公立大学は2026年11月13日、情報基盤システム障害の第6報を公表した。委託先NECの管理するクラウドストレージから、学生・教職員等の個人情報約17万名分が漏えいし、うち約1,400名分には銀行口座番号やパスポート画像などの機密性の高い情報が含まれていた。多くは2021年度の移行作業データで、完了後も削除されず残っていたという。

## 30秒で分かる結論

- 大阪公立大学は2026年11月13日、サイバー攻撃による情報基盤システム障害の第6報を公表しました。委託先である日本電気株式会社（NEC）の管理するクラウドストレージから、本学関係者の個人情報が漏えいしたことが新たに示されました
- 漏えいした個人情報は、学生・教職員等のID、氏名、メールアドレス、生年月日など約17万名分です。その一部には銀行口座番号、健康関連情報、パスポート画像、旅券番号など機密性の高い情報が約1,400名分含まれていました
- 機密性の高い情報の多くは、NECが2021年度に行ったシステム移行作業のデータで、作業完了後もクラウドストレージ上に削除されず残っていた、と大学は説明しています。対象者が判明次第、個別に説明と謝罪の連絡を行う予定です

## まず初めに

移行作業が終わったら、移行データは消す。ただそれだけの話が、できていなかった。5年近く前の作業の残り物が、多くの関係者が使う置き場に残り続け、そこから約17万名分が漏れた。攻撃した側が悪いのは当然として、鍵の掛かっていない物置に貴重品を置きっぱなしにした側の管理も、今回ははっきり問われる番だ

※個人の感想です

## 第6報で何が分かったか

大阪公立大学は2026年11月13日、「本学情報基盤システムにおける障害の発生について」を公表しました。発端は2026年10月2日に発生したサイバー攻撃による情報基盤システムの大規模障害で、大学はこれまで第5報まで調査状況を公表してきました。

第6報によると、大学が情報基盤システムの構築と運用保守を委託しているNECから、本学への攻撃の前段階として、NECの再委託先事業者の端末が不正アクセスを受けたとの報告がありました。大学側の調査では、再委託先の端末と、NECが管理するクラウドストレージから、本学に関する情報を含む大量のデータが漏えいした形跡が確認されたといいます。

さらに、その漏えいの直後には、NECと再委託先が業務で使う正規のアカウント（システムの管理者アカウントを含む）とパスワードを用いて、本学システムへの不正アクセスが行われていたことも確認されました。専門の調査会社も、再委託先への侵入と本学への侵入は同一の攻撃者によるものと判断することが妥当だと報告しており、大学は、攻撃者が窃取したアカウント情報などを悪用して本学システムに侵入し、サイバー攻撃を行ったと判断しています。

## 漏えいした情報の範囲

11月12日にNECから追加報告された内容として、大学は、クラウドストレージから漏えいした情報に、学生・教職員のIDや氏名、メールアドレス、生年月日などの個人情報が約17万名分含まれていたと公表しました。本学情報システムへの管理者情報など、管理上重要な情報も含まれていたとしています。

その一部には機密性の高い個人情報も含まれ、対象は約1,400名分です。項目として銀行口座番号、健康関連情報、パスポート画像、旅券番号などが挙げられています。機密性の高い情報の内容と件数の詳細は、第6報の別紙1にまとめられていると案内されています。二次報道（朝日新聞）は別紙に基づき、銀行口座番号が約20名分、ワクチン接種などの健康関連情報が約200名分、パスポート画像が約200名分、旅券番号が約1,000名分だったと伝えています。

![大阪公立大学発表の図解カード](/images/articles/osaka-public-university-sixth-report-170000-leak-nec-cloud-inline-1.webp)

## 消されなかった移行データ

今回の第6報で特に重いのは、機密性の高い情報の出どころです。大学によると、その多くは、NECが2021年度に本学の委託に基づいて行ったシステム移行作業の際の移行データで、作業完了後もNECが管理するクラウドストレージ上に保存されたままになっていたデータだという報告を受けています。

大学は、NECが作業完了後も長期間にわたって本学の機密情報を削除せず保持していたこと、さらに、それらの情報がNECと再委託先の多くの関係者が利用するクラウドストレージ上に保管されていたことは「重大な問題であった」と明記しました。その結果として本学関係者の個人情報が漏えいする事態に至ったことを「極めて重く受け止めている」としています。

なお、大学自身の情報システムから個人情報が漏えいしたかどうかについては、現時点では明確な事実は確認されていないとしています。一方で、本学システムへの不正アクセスがあり、多くのシステムが暗号化されている状況から、漏えいの可能性を完全に否定できるものではないとも明記し、可能性が残る事案として対象者への説明を行う方針です。対象者の範囲や種別の特定はNEC側で調査が続いており、具体的な対象者が判明次第、大学から個別に状況説明と謝罪の連絡を行う予定だとしています。

## 関係者への呼び掛け

大学は、今回の漏えいに関連した不審な電話や、なりすましメールに十分注意するよう呼び掛けています。あわせて、関係者からの問い合わせに対応する専用窓口を設置し、在学生には学生向けの情報提供手段で最新情報を確認するよう案内しています。

この事案は、サイバーセキュリティクラウドのGitHub認証情報流出（[サイバーセキュリティクラウドの記事](https://itpostjp.com/security/cyber-security-cloud-github-credential-leak-first-report/)）と同じく、委託先やその先の事業者を経由して情報が漏れる構図ですが、規模と機密性の高さでは一段重い事案です。

## 対象者が確認しておきたいこと

今回の漏えいで名前が挙がった情報は、大きく2層に分かれます。第1層は約17万名分の基本情報（ID、氏名、メールアドレス、生年月日など）です。第2層は約1,400名分の機密性の高い情報（銀行口座番号、健康関連情報、パスポート画像、旅券番号など）です。どちらの層に入るかで、取るべき注意の重さが変わります。

大学は、具体的な対象者が判明次第、個別に状況説明と謝罪の連絡を行うとしています。連絡が届くまでの間にできることは、大学やNECを名乗る電話やメールへの警戒です。漏えいしたメールアドレス宛てに、大学や金融機関を装った、なりすましメールが届く可能性は否定できません。リンク先でパスワードや口座情報を入力するよう求める連絡は、公式窓口で真偽を確認してから対応してください。卒業生や保護者向けには専用の相談窓口も案内されています。

また、パスポート画像や旅券番号が含まれる層では、なりすましによる各種手続きへの悪用も一般論として懸念されます。心当たりのある人は、個別連絡の内容を確認し、必要に応じて関係機関の窓口にも相談するのが安全です。

## IT Postの見方

IT Postでは、この第6報の核心は「侵入されたこと」よりも「消すべきデータが5年近く残っていたこと」だと考えます。移行データは、作業が終われば役目を終えるはずのものです。それが削除されず、しかも多くの関係者が使うストレージに置かれたままだったという経緯は、攻撃の巧拙とは別に、委託管理の基本動作が抜けていたことを示しています。

委託先の管理は、契約書に「適切に管理すること」と書けば終わりではありません。作業データの削除をいつ、誰が、どう確認したのか。その証跡まで含めて確認する仕組みがなければ、同じ事故は別の大学、別の自治体、別の企業でも起きます。約17万名という数字の重さは、その確認を怠った期間の長さとセットで見るべきです。

## 今後どうなりそうか

焦点は3つです。第1に、NEC側の調査で対象者と情報種別がどこまで特定され、個別連絡がいつ完了するか。第2に、大学自身のシステムからの漏えいの有無が確定するか。第3に、委託先管理の再発防止策が、削除確認や保管場所の制限といった具体策として示されるかです。

関係者側でできることは限られますが、大学やNECを名乗る不審な連絡には注意し、公式窓口以外で個人情報や認証情報を入力しないことが基本です。新たな事実が公表されれば、本記事を更新します。

## 情報源

「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。

- [本学情報基盤システムにおける障害の発生について](https://www.omu.ac.jp/news/12123) — 大阪公立大学（一次情報）
- [大阪公立大、17万人分の個人情報漏えい　委託先の管理に問題](https://www.asahi.com/articles/ASVCF2F7KVCFPTIL004M.html?iref=ogimage_rek) — 朝日新聞

## この記事に出てくるIT用語

- [セキュリティインシデント](https://itpostjp.com/terms/security-incident/): 不正アクセスや情報漏えい、マルウェア感染など、情報セキュリティ上の脅威となる事象全般を指す言葉です。
- [デジタルフォレンジック](https://itpostjp.com/terms/digital-forensics/): 不正アクセスなどのサイバー攻撃を受けた際に、機器に残る記録を解析して原因や被害範囲を明らかにする調査手法のことです。

---

この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。

出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/osaka-public-university-sixth-report-170000-leak-nec-cloud/