大阪公立大学で17万人分漏えい、口座番号やパスポート画像も　委託先に残る移行データ

　大阪公立大学は11月13日、10月2日に発生した情報基盤システムの大規模障害について、現時点までに判明した調査結果を「第6報」として発表した。同大が構築・運用保守を委託する日本電気（NEC）が管理するクラウドストレージから、学生・教職員らの個人情報が約17万人分漏えいしたことが明らかになった。

　漏えいした情報には、学生・教職員のIDや氏名、メールアドレス、生年月日が含まれる。このうち約1,400人分には、銀行口座番号や健康関連情報、パスポート画像、旅券番号といった機密性の高い個人情報も含まれていたという。NECが11月12日に同大へ追加報告した。

　同大によると、機密性の高い情報の多くは、2021年度にNECがシステム移行作業を行った際の移行データだった。作業完了後もNECが管理するクラウドストレージに保存されたままになっていたという。

　同大は、NECが作業完了後も長期間にわたって機密情報を削除せずに保持していたこと、そしてNECと再委託先の多くの関係者が利用するクラウドストレージに保管されていたことを「重大な問題」と認識していると説明した。

　不正アクセスの経緯について、同大は次のように説明している。NECの再委託先の端末が不正アクセスを受け、この端末とNEC管理のクラウドストレージから、同大に関する情報を含む大量のデータが漏えいした形跡が確認された。その直後に、NECと再委託先が委託業務で使う正規のアカウント（管理者アカウントを含む）とパスワードを使い、同大のシステムへの不正アクセスが行われていたという。専門の調査会社も、両者は同一の攻撃者によるものとみられると報告している。

　一方、同大の情報システムそのものから個人情報が漏えいしたという明確な事実は、現時点では確認できていない。ただし、多くのシステムが暗号化されている状況から、漏えいの可能性は否定できないとしている。

　同大は、対象者が判明次第、個別に状況説明と謝罪の連絡を行う予定。関係者に対しては、不審な電話やなりすましメールへの注意を呼びかけている。専用の相談窓口も設置した。