大阪大学で7万7851人の個人情報が漏えい｜NECの委託先経由で何が起きた？受験生・学生が気をつけること

大阪大学は、国立大学の中でも学生数がとても多い大学のひとつです。今回のニュースは、大学そのものがハッキングされたのではなく、大学が仕事を任せていた会社（委託先）の、さらにその先の扱いで情報が外に出てしまった、という点が大きな特徴です。この記事では、大阪大学とNECの公式発表をもとに、何が起きたのか、受験生や学生が何に気をつければよいのかを、中学生・高校生にもわかる言葉で整理します。

大阪大学の個人情報漏えい、何が起きた？（時系列）

大阪大学は、学生や教職員が授業や学習で使う「全学教育用電子計算機システム」（大学全体の教育用のコンピューターのしくみ）の運用を、NECに委託しています。2026年10月9日、そのNECから大学に「9月26日に、第三者によって本学の個人情報を含むファイルがダウンロードされていた」という報告がありました。

大学が調べたところ、次の3つのことがわかりました。

1. 大学に報告されていない協力会社が、業務の一部に関わっていた
2. NECが、大学との契約によらず、協力会社と作業の情報を共有するために、個人情報を含むファイルをクラウドストレージで共有していた
3. 作業のあとに削除すべきファイルを持ち続けていた

これらのファイルが第三者にダウンロードされた、というのが大学の説明です。

ダウンロードされた日から大学への報告まで、およそ2週間かかっています。大学の発表の人数は「現時点」のもので、重複を除いた数とされています。今後の調査で内容が変わる可能性もあるので、最新の情報は大学の公式サイトで確かめてください。

漏えいした人数と情報｜卒業生・在学生・教職員の内訳

大学の発表によると、対象は合計77,851人です。内訳は次のとおりです。

いちばん多いのは卒業生で、およそ4人に3人にあたります。すでに大学を出て社会人になっている人も多くふくまれるということです。

漏えいした主な情報は、次のようなものです（人によって項目がちがい、大学は対象者に個別に知らせる予定としています）。

• 氏名
• 大阪大学個人ID
• 大学が付与するメールアドレス（OUMailアカウントなど）
• 学籍番号または職員番号
• 所属情報

大学の発表に挙げられている項目は、名前・ID・大学のメールアドレス・番号・所属です。住所や電話番号などは、主な項目としては挙げられていません。ただし「主な項目」なので、自分が対象かどうか、どの項目が対象かは、大学からの個別の連絡で確かめるのが確実です。

うかるくん

パスワードが漏れたわけじゃないなら、そんなに心配しなくていいんですか？

合格先生

大学の発表では、不正利用や二次被害は今のところ確認されていません。でも名前と大学のメールアドレス、所属がセットでわかると、「大阪大学からのお知らせ」をよそおった、本物っぽいメールを作りやすくなります。だから大学も、なりすましメールに注意してほしいと呼びかけているんです。

原因は「無断の再委託」と「消し忘れ」｜委託・再委託とは？

今回のニュースを理解するカギは、委託（いたく）と再委託（さいいたく）という言葉です。

• 委託：自分の仕事の一部を、ほかの会社などに任せること。大学がシステムの運用をNECに任せるのが委託です。
• 再委託：任された会社が、その仕事の一部を、さらに別の会社に任せること。大学の発表では、この先の会社を「協力会社」と呼んでいます。

委託や再委託そのものは、悪いことではありません。大きなシステムを動かすには多くの専門家が必要で、仕事を分けて任せるのはふつうのことです。問題は、任せた側（大学）がそれを知らなかったことです。大切な情報をだれが扱っているのかを大学が知らなければ、大学はその会社に安全な管理を求めることも、チェックすることもできません。

大学の発表を、図4に合わせて整理するとこうなります。

③の「消し忘れ」も大事なポイントです。必要がなくなった情報を消しておけば、たとえ保管場所に入られても、漏れる情報はありません。「持たない情報は漏れない」という考え方は、情報セキュリティの基本のひとつです。

大阪大学は、協力会社が報告なしに関わっていたことと、NECが無断でファイルを共有・保持していたことを重大な問題と考えていると説明しています。そのうえでNECに対して、事態の収束、原因の究明、再発防止の徹底を求めています。

なお、日本の個人情報保護法では、一般に、個人情報を扱う組織はそれを安全に管理するための対策をとることや、仕事を任せた委託先をきちんと監督することが求められています。今回の件で法律上どのような扱いになるかは、この記事では判断しません。

合格先生

「どこに、だれが、何の情報を持っているか」を把握できていないと、守ることはできません。会社や大学の情報管理では、仕事を任せた先のさらに先まで見ることが大切なんです。

NECの発表と委託先へのサイバー攻撃｜「正規アカウントの悪用」とは？

NECは大阪大学の発表の前日、2026年10月20日に「委託先への不正アクセスに起因するお客さまのシステム障害、情報漏えいに関するお詫び」を発表しました。内容をまとめると次のとおりです。

• NECがシステムの開発・保守を委託している企業（委託先）が、9月下旬にサイバー攻撃を受けた。
• そこで盗まれた正規アカウントの認証情報（本物のIDとパスワードなど）が悪用され、NECのお客さまで、不正アクセスの被害や個人情報を含む情報の漏えいが確認された。影響のあった複数のお客さまには個別に連絡している。
• NECが作り、お客さまとNEC、NECと委託先など関係者の間で情報共有に使っていたクラウドストレージの中のファイルが漏えいした。個人情報やシステム関連の情報がふくまれていた。
• 委託先には、NECが管理する端末（パソコンなど）を貸し出すなどの対策をとり、委託先の管理や個人情報の管理を強めるとしている。

NECの発表では、お客さまの一部で、委託先の端末から正規のアカウントで不正にアクセスされ、サーバーの中のファイルが暗号化されて各種システムが使えなくなる被害も出たとされています。ただし大阪大学については、NECの調査で、本件に関連する全学教育用電子計算機システムへの不正アクセスの痕跡は確認されていないと大学が発表しています。大学のシステムが止まったり、乗っ取られたりしたわけではない点は、分けて理解しておきましょう。

NECの発表の「クラウドストレージのファイルの漏えい」と、大学の発表の「クラウドストレージで共有していたファイルのダウンロード」は、時期も内容も重なります。大阪大学の発表のページにも、関連情報としてNECの発表が載っています。協力会社・委託先の社名は、どちらの発表でも公表されていません。

「正規アカウントの悪用」とは

ふつう「不正アクセス」と聞くと、システムのすき間をついて無理やり入りこむイメージがあるかもしれません。しかし最近多いのは、本物のIDとパスワードを盗んで、正面から堂々とログインする手口です。システムから見ると「正しい利用者が入ってきた」ように見えるので、見つけにくいのが特徴です。

これを防ぐ方法のひとつが多要素認証です。パスワードだけでなく、スマートフォンに届く確認コードや指紋など、2つ以上の方法で本人かどうかを確かめます。パスワードが盗まれても、それだけではログインできないようにするしくみです。

在学生・卒業生・受験生が気をつけること

大学は、漏えいした情報を悪用したフィッシングメール（偽のメールで偽サイトに誘導し、パスワードなどをだまし取るもの）やなりすましメール（大学や知り合いのふりをして送られるメール）に注意するよう呼びかけています。名前や所属を知っている相手からのメールは、本物だと思いこみやすいので要注意です。

なりすまし・フィッシングメールの見分け方

• 差出人のメールアドレスを確かめる：表示名が「大阪大学」でも、アドレスの@の後ろが大学のものかを見ましょう。ただしアドレスも偽装されることがあるので、これだけで安心はできません。
• 急がせる文面に注意：「至急」「本日中に手続きしないとアカウント停止」などは、考える時間をうばう典型的な手口です。
• リンク先のURLを確かめる：本物によく似たつづりのドメインが使われることがあります。
• パスワードや個人情報の入力をメールで求められたら疑う。
• 心当たりのない添付ファイルは開かない。
• 迷ったら、メールのリンクは押さず、ブックマークや検索から公式サイトを自分で開いて確かめる。問い合わせも、公式サイトにのっている窓口を使いましょう。大阪大学の本件の問い合わせ先は、情報推進部 情報基盤課（問い合わせフォーム）です。

パスワードの使い回しをしない・多要素認証を使う

今回、大学の発表ではパスワードは主な項目に入っていません。それでも、IDやメールアドレスがわかると、ほかで漏れたパスワードと組み合わせてログインを試される危険があります。同じパスワードをいくつものサービスで使い回さないこと、使えるサービスでは多要素認証をオンにすることが、自分を守るいちばん確かな方法です。

サクラちゃん

私は来年、阪大を受けたいと思っています。出願のときの情報も漏れたんでしょうか……？

合格先生

大学の発表で対象とされているのは卒業生・在学生・教職員です。受験生（出願者）の情報については、発表には書かれていません。わからないことは決めつけず、心配なら大学の公式の窓口で確かめましょう。どちらにしても、大学を名乗るメールのリンクは押さず、公式サイトから確かめるクセをつけておくと安心ですよ。

受験生にとっては、これから出願や合格発表、入学手続きで、大学からの連絡をネットやメールで受け取る場面がふえます。2027年の大学入学共通テスト（共通テスト、旧センター試験）の日程は2027年 共通テストの時間割・日程でまとめています。試験の直前は気持ちがあせりやすく、「出願の不備」「受験票の再発行」などをよそおったメールにだまされやすい時期です。手続きは必ず大学や大学入試センターの公式サイトから行いましょう。

受験生の個人情報をめぐるニュースは、今回が初めてではありません。2011年には大学入試センターで受験生の個人情報の紛失が起きています（大学入試センター 受験生の個人情報を紛失）。大切な情報を扱う側の管理が、いつも問われているのです。

共通テスト「情報Ⅰ」で学ぶ情報セキュリティとの関係

このニュースは、受験生にとって「ひとごと」ではありません。共通テストでは2025年から国公立大学の受験で「情報（情報Ⅰ）」が原則必須になりました（共通テストで新教科「情報」が原則必須に）。情報Ⅰでは、情報社会のルールやセキュリティについても学びます。今回のニュースは、まさにその生きた教材です。

情報セキュリティでは、機密性（見てよい人だけが見られる）、完全性（情報が正しく、勝手に書きかえられていない）、可用性（必要なときに使える）の3つを守ることが大切だとされます。今回の大阪大学の件は、主に機密性が守られなかった例です。一方、NECの発表にある「ファイルが暗号化されてシステムが使えなくなった」という一部のお客さまの被害は、可用性が失われた例だといえます。

共通テストの情報Ⅰでは、こうした用語の意味を、具体的な場面に当てはめて考える問題が出ることがあります。「この場面で守られなかったのは何か」「どんな対策が有効か」を、ニュースを読みながら考えるのは良い練習になります。数学の用語が気になる人は数学用語辞典も使ってください。

小論文・面接で問われる視点｜委託先管理とデジタル社会の信頼

今回のできごとは、法学部・経済学部・情報系の学部などの小論文や面接で問われやすいテーマをいくつもふくんでいます。

• 委託先の管理：仕事を任せた先、そのさらに先まで、だれが責任を持って管理するべきか。
• 便利さと安全：クラウドでの共有は便利だが、決められたルールの外で使うと大きな危険になる。
• 「持たない」ことの大切さ：必要がなくなった情報を消すことも、立派な安全対策である。
• デジタル社会の信頼：大学や会社が情報をきちんと守れなければ、人々は安心してデジタルのサービスを使えない。
• 報告と公表：問題が起きたとき、関係者に早く正確に知らせることの大切さ。

問題例：「大学の個人情報が委託先の業務を通じて漏えいした事例をふまえ、組織が個人情報を守るために必要なことを、あなたの考えとともに800字以内で述べなさい。」

書くときは、「委託先が悪い」と一方を責めるだけで終わらせず、①ルールを作る、②ルールが守られているかを確かめる、③問題が起きたら早く知らせる、といったしくみの話にまで広げると、説得力のある答案になります。小論文や面接の相談は受験の質問・相談でも受け付けています。

大阪大学を目指す受験生へ

今回のニュースは、大学の入試や教育の内容そのものに関するものではありません。阪大を目指す人は、落ち着いて受験の準備を続けましょう。阪大の入試については、大阪大学の入試難易度と合格最低点予想、大阪大学の合格最低点、大阪大学の入試時間割、出願の考え方は大阪大学のボーダー予想と出願アドバイスにまとめています。

阪大の受験生どうしの情報交換や、今回のニュースについての声は、受験掲示板「100点BBS」の大阪大学の掲示板でも見ることができます。掲示板などに書きこむときも、自分や友だちの学籍番号やメールアドレスなどの個人情報は書かないようにしましょう。

よくある質問

あわせて読みたい

• 大学入試センター 受験生の個人情報を紛失
• 【共通テスト】2025年1月から国公立大学受験で新教科「情報」が原則必須に
• 大阪大学 入試難易度＆合格最低点予想
• 大阪大学 合格最低点
• 【2027年】共通テストの時間割・日程