佐賀大学は10月30日、9月に事務部門のNAS（ネットワーク接続型ストレージ）がランサムウェア（身代金要求型ウイルス）とみられる被害を受けた問題で、大学が持つ個人情報が外部へ流出した可能性が否定できないと発表した。対象は学生、教職員、元学生、元教職員、関係者らの約8万人分で、氏名、生年月日、性別、住所、電話番号、メールアドレス、パスワードが含まれる。医学部附属病院の患者の情報も対象になっており、診療科や傷病名、受診日といった要配慮個人情報を含む。患者情報の件数は「調査中」としている。9月28日の第1報では被害の発生を伝えるにとどまっており、個人情報の流出の可能性を認めたのは今回が初めて。
9月24日朝に検知、事務用端末を3日間止めた
大学の発表によると、被害を確認したのは9月24日（木）午前8時42分。事務部門が使うNASで、ランサムウェアによるとみられる被害が見つかった。情報セキュリティインシデント対応チーム（CSIRT）が初動対応に入り、被害の拡大を防ぐため、同日午後4時45分に事務用端末の利用を止めた。
被害が確認された機器はネットワークから切り離し、感染が疑われるサーバーを復旧させたうえで、9月27日（日）午前11時3分に事務用端末の利用を再開した。通常業務は9月28日（月）から再開している。この間、文部科学省などへ報告し、警察にも相談したという。
9月28日の第1報は、被害が事務情報システムの一部で起きたことと、復旧までの経過を伝える内容だった。第1報には「教育・研究・診療業務に関係するシステムへの影響は確認されていません」とあり、個人情報が外部に出たかどうかには触れていなかった。
その後、大学は外部の専門事業者に調査を依頼し、侵入経路と影響範囲を調べてきた。10月30日の発表は、この調査の途中経過として出された。侵入経路が何だったのか、攻撃者から身代金の要求があったのかは、発表に書かれていない。
| 日時 | 大学の発表にある経過 |
|---|---|
| 9月24日 午前8時42分 | 事務部門のNASでランサムウェアとみられる被害を確認 |
| 9月24日 午後4時45分 | 事務用端末の利用を停止 |
| 9月27日 午前11時3分 | 事務用端末の利用を再開 |
| 9月28日 | 通常業務を再開。第1報を公表 |
| 10月30日 | 患者情報を含む個人情報の流出の可能性を公表 |
8万人分にパスワード、患者は傷病名まで
流出した可能性があるとされた情報は、大きく2つに分かれる。
1つは学生、教職員、関係者らの情報で、約8万人分。在学生や現職の教職員だけでなく、元学生と元教職員も含む。項目は氏名、生年月日、性別、住所、電話番号、メールアドレスに加え、パスワードも挙がっている。どのサービスのパスワードなのかは、発表からは分からない。
もう1つは附属病院の患者の情報で、診療科、傷病名、受診日などが対象になっている。大学は発表で、患者情報を個人情報保護法上の「要配慮個人情報」と明記した。病歴などを含み、取り扱いに特に配慮が求められる区分だ。何人分の患者情報が含まれるのかは、まだ分かっていない。
第1報で影響が無いとされた「診療業務に関係するシステム」と、今回の患者情報の関係について、発表は詳しく説明していない。被害を受けたのは事務部門が使うNASだと説明されているが、患者情報がどのシステムに、どのような形で保管されていたのかは示されていない。
大学は2種類の発表文を広報室のページに載せている。一方は「流出した可能性がある」と書き、もう一方は「流出した可能性が否定できない」と書いたうえで、関係者への注意の呼びかけを加えている。件数や情報の項目はどちらも同じだ。
大学を装う連絡に注意、病院は問い合わせフォーム
大学は関係者に対し、大学や関係機関を装った不審なメールやSMS、電話が届く可能性があるとして注意を呼びかけた。身に覚えのない連絡に書かれたURLや添付ファイルは開かず、不審なウェブサイトに個人情報やパスワードを入力しないよう求めている。
附属病院も10月30日、ホームページの「お詫び」を更新した。患者情報の流出の可能性が否定できないため病院のページでも周知するとし、患者と家族に向けて「深くお詫びいたします」と謝罪した。現時点で、この件による二次被害は確認されていないという。
病院は受診した患者や家族からの問い合わせを、専用のフォームで受け付けている。フォームに入力して送ると、事実関係を調べて回答する仕組みで、「調査に時間を要することをご容赦ください」と断っている。大学全体の窓口は広報室（電話0952-28-8153）。
個人情報が漏れた人の対処の手順は、本紙の既報で扱っている（IPA、個人情報が漏れた人向けに対処手順 免許証画像は信用情報機関へ申告を）。
要配慮個人情報の漏えいは国への報告の対象
国立大学法人は、個人情報保護法の別表第二に掲げられた法人だ。同法第58条は、別表第二の法人を個人情報取扱事業者のうち一部の規定を適用しない者と定めている。適用しないとされたのは第32〜39条と第4節で、漏えいなどが起きたときに個人情報保護委員会へ報告し、本人に通知する義務を定めた第26条は外れていない。
報告が必要になる事態は、同法の施行規則第7条が定めている。要配慮個人情報を含む個人データの漏えいが発生し、または発生したおそれがある場合と、不正な目的を持った行為による漏えいが発生したおそれがある場合は、どちらも報告の対象だ。施行規則第8条は、事態を知った後「速やかに」報告し、原則30日以内、不正な目的による場合は60日以内に確定した内容を報告するよう求めている。
大学の10月30日の発表は、文部科学省などへの報告と警察への相談には触れているが、個人情報保護委員会への報告と、対象者本人への個別の通知をどう進めるのかは書いていない。
ランサム被害は上半期123件、医療機関でも
警察庁によると、2026年上半期（1〜6月）に報告されたランサムウェアの被害は123件で、統計を取り始めた2020年下半期以降、半期として最多だった（ランサムウェア被害、2026年上半期は過去最多123件 警察庁 VPN経由が半数、バックアップ復元は3割弱）。被害に遭った組織の規模は中小企業が約6割で、業種別では製造業が約3割を占める。
警察庁の報告は、同じ期間の主な事例として医療機関への攻撃も挙げている。2月には、ある医療機関が医療情報システムの一部にランサムウェア攻撃を受け、ナースコールシステムに障害が出たほか、約13万人の患者の個人情報が漏えいしたと発表した。調査費用と復旧費用も膨らんでおり、被害に遭った組織へのアンケートでは、復旧に総額1000万円以上かかった組織が全体の6割を占めた。
佐賀大学は引き続き調査を続け、情報セキュリティ対策を強化して再発防止を図るとしている。患者情報の件数と侵入経路が判明するのは、この調査の結果を待つことになる。