早稲田大学は2026年11月9日、ポータルサイト「MyWaseda」のログイン用ユーザー情報を管理するシステムへの不正アクセスで、教職員番号や氏名、暗号化されたパスワードなど延べ3,342件が第三者に取得されたと公表。卒業生向けサービスは一時停止が続く。対象の内訳と対応を整理する
別の穴を塞ぎに行ったら、既に開けられていた扉を見つけた。大学のポータルの鍵束にあたるシステムで、見つかったのは「入られた形跡」だけではない。延べ3,342件が「取得された」と確認された点が重い。一方で、数字の読み方には注意が要る。延べ件数であり、パスワードも平文ではない。その線引きを外すと、話は必要以上に大きくも小さくもなる。
※個人の感想です
早稲田大学は2026年11月9日、「不正アクセスによる個人情報漏えいについて」を公表しました。
同大学によると、本件は、PHPの脆弱性への対応を契機として学内システムの状況を確認する中で、2026年8月31日に行われた不正アクセスの痕跡を確認したことから判明しました。その後、調査範囲を広げた結果、個人情報を管理するシステムへの第三者による侵入と、一部情報が取得された事実を確認したということです。
侵入が確認されたのは、メールサービスなどを利用できるポータルサイト「MyWaseda」へのログインに使用するユーザー情報を管理するシステムです。このシステムには、教職員番号、氏名、Wasedaメールアドレス、所属部署名、資格名、暗号化された状態で保存されたパスワードが含まれます。
第三者によって不当に取得されたことが確認された情報は、①と②を合わせて延べ3,342件です。
| 区分 | 件数 | 取得された情報 |
|---|---|---|
| ① 教職員（退職者を含む）、学生、卒業生等に関する個別の情報 | 計81件 | 氏名／資格名（38件）、氏名／資格名／Wasedaメールアドレス（23件）、氏名／暗号化された状態で保存されたパスワード（20件）が、それぞれ個別に取得された |
| ② 職員等に関するユーザー情報 | 3,261件 | 教職員番号、氏名、Wasedaメールアドレス、所属部署名、資格名、暗号化された状態で保存されたパスワードの6項目が、一体の情報として取得された |
同大学は、記載の件数は延べ件数であり、同一の利用者が複数のメールアドレスを保有している場合があるため、対象者の実人数とは一致しないとしています。また、パスワードは利用者が設定したパスワードそのものをそのまま保存していたものではなく、暗号化された状態で保存されていたものだということです。
現時点では①②以外の情報については、第三者による取得の事実は確認されていません。ただし、その可能性を否定できないため、引き続き詳細な調査を進めています。入試志願者に関する情報や、早稲田大学オープンカレッジの受講生に関する情報は、今回の不正アクセスによる影響は現時点で確認されていないとしています。
パスワードが暗号化された状態だったとはいえ、氏名やメールアドレスと一体で取得された以上、油断はできません。同じパスワードを他のサービスで使い回している場合は、そのサービス側のパスワード変更も検討してください。パスワードの使い回しが連鎖した事例は、オンライン麻雀「Maru-Jan」で全会員のパスワードが流出した記事でも整理しています。
同大学が示した対応は、次のとおりです。
あわせて同大学は、本件に関連して大学や関係者を装った不審なメールやSMSが送信される可能性があるとして、身に覚えのない連絡に記載されたリンクへのアクセス、添付ファイルの開封、ID・パスワード等の入力を行わないよう注意を呼びかけています。
本件の問い合わせ窓口は、ITヘルプデスクのお問い合わせフォームと電話0120-200-042（平日9時〜17時、日本語のみ対応）です。報道機関からの問い合わせは広報室が窓口です。
同大学は、新たに公表すべき事実が判明した場合は、調査の完了を待たず、大学のWebサイト等を通じて速やかに知らせるとしています。必要に応じて、対象となる人に個別に連絡する場合があるということです。
調査結果を踏まえ、原因と影響を検証し、必要な安全対策を講じるとともに、監視・検知、初動対応、情報共有等を含むインシデント対応体制についても見直しを行い、再発防止策を講じるとしています。
IT Postでは、この公表で評価できるのは、取得が確認された範囲を①②に分け、項目の組み合わせまで具体的に示した点だと考えます。「延べ件数であり実人数ではない」「パスワードはそのままの文字列ではない」という限定も、同じ文書の中で明記されています。利用者が自分の状況を判断する材料は、ひととおり揃った形です。
一方で、時間の流れは厳しく見ざるを得ません。侵入の痕跡は8月31日のもので、公表は11月9日です。点検のきっかけがPHPの脆弱性への対応だったという経緯は、裏を返せば、その点検がなければ発見はさらに遅れた可能性を示します。見つけたこと自体は点検の成果ですが、「点検しなければ見つからない状態だった」ことも同時に意味します。卒業生向けサービスを止めて安全確認を優先した判断は妥当ですが、証明書発行まで止まる影響は小さくありません。再開時期の見通しと、侵入経路の説明が、次の発表の焦点になります。
今後の確認点は、侵入経路と原因の特定、①②以外の情報への影響の有無、卒業生向けサービスの再開時期、対象者への個別連絡の範囲です。
IT Postでは、続報が公表された場合は本記事を更新します。
「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。
インドアゴルフスクールのステップゴルフは2026年11月7日、業務システムと予約システムへの不正アクセスで、無料体験申込者と現・元会員の個人情報が外部に漏えいした可能性が極めて高いと発表（第一報）。対象となり得るデータは最大21万5,000件（データベース上の登録件数で人数ではない）で、銀行口座情報は暗号化されていない状態で保管されていた。顔写真、レッスンカルテ、要配慮個人情報も対象に含まれ得る。11月5日に異常を検知し、10月23日・25日の不正アクセスも確認。クレジットカード情報と本人確認書類は保有しておらず対象外で、続報は11月10日を目途に掲載予定
フューチャーショップは2026年10月23日、ECプラットフォーム「futureshop」のサーバーへの不正アクセスで、利用1店舗の会員情報314万7469件が漏えいしたと発表した。対象店舗はリンツの公式オンラインショップと公式アプリで、パスワードの強制リセットとアプリ公開停止が進んでいる。対象情報と利用者の対応を整理する
河淳（ケユカ）は2026年11月11日、第2報として、業務委託先ナノテックのサーバーへの不正アクセスで最大77,105件の個人情報が漏えいした恐れがあると発表した。Webアプリケーションの脆弱性を突かれて不正プログラムが設置されたとみられ、家具・カーテン注文の最大530件には氏名・住所・電話番号が含まれる。アララ経由のメールアドレス流出とは別の委託先・別の事案で、第1報の「対象外」の記載も訂正された
スノーピークが2026年11月13日、リユース買取24,948人、イベント予約5,923人、コミュニティアプリ21,553人の情報流出の可能性と、公式ストア・会員アプリへの不正ログイン最大445件を公表。合計52,869件は重複を含む可能性のある合算で、確定した漏えい人数ではない。
アイリスオーヤマの公式通販サイト「アイリスプラザ」を運営する株式会社アイリスプラザは2026年11月5日、外部クラウドサービスへの不正アクセスで、会員と非会員を合わせて最大約770万人分の個人情報が漏えいした可能性があると発表した。会員データには暗号化されたパスワードも含まれ、クレジットカード情報は当該クラウドに保存されておらず影響なしと確認された。対象者への個別連絡は順次進める
松屋フーズホールディングスは2026年11月6日、公式アプリ管理システムへの不正アクセスで漏えいした情報の内訳を公表した。11月4日調査時点で、会員IDと氏名のみが約223万件、電話番号と配達先住所まで含むのが約11万件、メールアドレスや生年月日まで含むのが2,000件。補償内容の確定と、11月6日14時の公式アプリ再開、Web版の復旧状況を反映した
Bing検索からのクリック数にもとづく（集計期間: 2026年9月26日〜2026年10月23日）
