早稲田大、3,308名の個人情報流出…Webサイト改ざんも

　早稲田大学は6月22日、マルウェア感染による3,308名の個人情報流出とスケジュール管理Webサイトの改ざんがあったことを発表した。現時点で二次被害の報告は受けていないという。

デジタル生活インターネット

2015.6.23 Tue 11:12

　早稲田大学は6月22日、マルウェア感染による3,308名の個人情報流出とスケジュール管理Webサイトの改ざんがあったことを発表した。現時点で二次被害の報告は受けていないという。

　個人情報流出の経緯について、「マルウェアに感染した際に発生する特定サーバへのアクセスが確認された」と外部機関より6月5日に報告があった。調査の結果、2014年12月11日に同大に送付された医療費通知を装う「標的型メール」の添付ファイルを開封したことにより、当該職員が使用していた事務用パソコンがマルウェアに感染。12月17日にこのパソコンを経由して、同大管理サーバの設定ファイルに残されていた管理用パスワードが盗まれたことによって、ほかの事務用パソコン数台にマルウェアを埋め込まれ、感染したという。

　流出したのは、「学生31名の学籍番号」「学生60名の氏名、カナ氏名、性別、学籍番号、クラスNo.」「事務用パソコン利用者2,310名の氏名、所属、教職員番号」「職員1名の氏名、所属、e-mailアドレス、内線番号」「職員6名の氏名、所属、教職員番号、e-mailアドレス」「職員16名の氏名、教職員番号」「教職員、派遣社員等884名のe-mailアドレス」の合わせて延べ3,308名の個人情報。二次被害を防ぐため、6月19日に業務で利用する特定の通信を除き、すべて事務用パソコンと外部との通信を遮断している。

　スケジュール管理Webサイト改ざんの経緯について、同大が所有するスケジュール管理サーバに対して学外から不正侵入があり、スケジュール管理Webサイトのトップページが改ざんされていることが6月1日に判明。不正侵入の原因は、該当サーバのOSのセキュリティパッチが最新のものではなく、該当サーバに対してファイアウォールによる監視が実施できていなかったため、不正侵入を防御できなかったという。

　スケジュール管理Webサイト改ざんによる個人情報へのアクセスや外部送信の形跡はなく、個人情報の流出は確認されていない。しかし、「外部企業担当者7名の携帯電話番号、メールアドレス」「2006年当時の助手7名の携帯電話番号、メールアドレス」は改ざんされたサーバに保管されていたため、個人情報が流出した可能性はある。

　いずれの被害も、現時点で個人情報を提供していない外部業者などからのダイレクトメールや不審な連絡があったとの報告は受けていないという。