福岡大学委託先ノストラムランサムウェア被害詳細レポート｜就活対策サイト「SMART SPI」・学生3万3668人分の情報が漏えいの可能性

2026年7月25日 2026年7月27日

secure

福岡大学は2026年7月、就職筆記試験の対策サイト「SMART SPI」を運営する委託先・株式会社ノストラムがランサムウェア被害を受け、同大学の学生の個人情報が漏えいした可能性があると公表しました。対象は2023年度から2026年度までに在籍した学生（医学部医学科を除く）で、学籍番号・生年月日・模擬試験などの受験結果を含み最大3万3668人分に及びます。攻撃者はデータの公開を予告しており、委託先経由で大学の情報が流出するサプライチェーン型被害の典型例です。本記事では時系列・技術的な侵入経路・組織が取るべき備えを整理します。

インシデント概要

▌ INCIDENT OVERVIEW

被害組織	福岡大学（委託先：株式会社ノストラム／就職筆記試験対策サイト「SMART SPI」運営）
侵入日	2026年4月17日（第三者が委託先ネットワークへ侵入）／4月19日早朝（VPN経由でランサムウェア侵入・サーバ暗号化）
公表日	2026年7月8日（福岡大学が大学公式サイトで公表／報道は7月9日）
インシデント種別	ランサムウェア（委託先経由・サプライチェーン型）
漏えいの可能性がある情報	学籍番号、生年月日、模擬試験などの受験結果など。登録者最大800人については氏名などを含む
対象範囲	2023年度〜2026年度に在籍した学生（医学部医学科を除く）最大3万3668人分
攻撃者の動き	サーバ暗号化に加えバックドアを設置。データの公開を予告
報告先	警察・個人情報保護委員会へ報告済み
調査状況	調査継続中（続報待ち）

時系列

福岡大学の公表と各種報道をもとに整理した時系列です。

2026年4月17日：第三者が、委託先である株式会社ノストラムが管理するネットワークに侵入。後の調査でこの侵入が確認された。
2026年4月19日：早朝にVPNを経由してランサムウェアがサーバへ侵入。ファイルが暗号化されサーバが起動できない状態となり、外部から侵入するためのバックドアも設置されていた。
2026年5月8日：ノストラムが、自社サーバがランサムウェア攻撃を受け学習支援サービスが停止したことを公表。委託元での影響調査が進む契機となった。
2026年7月8日：福岡大学が「本学が委託する筆記試験対策サイトへの不正アクセスについて（報告とお詫び）」を公表。2023〜2026年度在籍学生（医学部医学科を除く）最大3万3668人分の学籍番号・生年月日・受験結果などが漏えいした可能性があると説明。登録者最大800人については氏名などを含むとした。警察・個人情報保護委員会へ報告済み。

技術的詳細（侵入の構造）

本件は、大学が直接攻撃されたのではなく、業務を委託していた外部企業のサーバが侵害されて情報が流出したという構造です。公表内容と報道から読み取れる侵入経路を整理します。

▌ 侵入・被害の構造（公表情報に基づく）

入口はVPN：攻撃者は4月17日に委託先ネットワークへ侵入し、4月19日早朝にVPNを経由してランサムウェアを送り込んだ。VPN機器・認証は近年のランサムウェア侵入で最も狙われる入口のひとつ。
暗号化＋バックドア設置：サーバのファイルを暗号化して起動不能にしたうえで、再侵入用のバックドアを設置していた。単なる暗号化にとどまらず、継続的なアクセス手段を確保する典型的な手口。
委託元データの巻き込み：委託先のサーバには、委託元である福岡大学の学生情報（学籍番号・生年月日・受験結果など）が保管されていた。委託先の一台の侵害が、委託元の数万人規模の情報漏えいに直結した。
公開型の脅迫：攻撃者はデータの公開を予告しており、身代金支払いを拒否した場合に窃取データを暴露する「二重脅迫」の圧力をかけている。

委託先（サプライチェーン）経由の被害という構造

SMART SPIは就職活動の筆記試験対策として学生が利用するサービスで、福岡大学はその運営を外部企業ノストラムに委託していました。学生の学籍番号や受験結果といった情報は、サービスを提供するために委託先のサーバへ渡されます。この「委託元のデータが委託先のサーバに存在する」という構造が、委託先の侵害と同時に委託元の情報漏えいを引き起こしました。自社（自組織）のセキュリティが堅牢でも、データを預けた先が破られれば情報は流出します。

中小企業・組織への教訓

大学に限らず、外部サービスへ個人情報を預けているすべての組織に共通するリスクです。特に中小企業は、SaaSや業務委託先にデータを預けたまま、その預け先のセキュリティ水準を把握できていないケースが少なくありません。

▌ 中小企業・組織への影響・教訓

「預けたデータ」の所在を把握する：どの委託先・SaaSに、どの個人情報を、何件渡しているかを棚卸しする。把握できていないデータは守れず、漏えい時の対象範囲も特定できない。
委託先のセキュリティ水準を契約で担保する：VPN・多要素認証・EDR・バックアップ・インシデント時の速報義務などを委託契約に明記し、定期的に確認する。
VPNは最優先の点検対象：本件もVPN経由の侵入だった。VPN機器のファームウェア更新、多要素認証、不要アカウントの棚卸しを徹底する。
公表・通知の負担は委託元にも及ぶ：委託先が破られても、対象者への通知・お詫び・監督官庁への報告は委託元の責任として発生する。事故対応の想定を委託先任せにしない。

▌ 今すぐ確認すべき対策

業務委託先・利用SaaSごとに、預けている個人情報の種類と件数を一覧化する
委託先のVPN・リモートアクセスに多要素認証が設定されているかを確認する
重要データはネットワーク分離したバックアップを持ち、復元テストを定期実施する
委託契約にインシデント発生時の速報義務・セキュリティ水準維持・監査権を盛り込む
漏えい発生を想定し、対象者通知・監督官庁報告・問い合わせ窓口の手順を事前に整える

編集部まとめ

福岡大学の事案は、就活対策サイトの運営を委託した外部企業がランサムウェア被害を受けた結果、大学が保有していた学生3万3668人分の情報が漏えいの可能性に直面した事例です。侵入はVPN経由で、暗号化に加えバックドアの設置とデータ公開の予告という近年のランサムウェアの典型的な手口が確認されています。

組織にとっての要点は「データを預けた先も自組織のセキュリティ境界の一部」ということです。委託先・SaaSに渡した個人情報の所在を棚卸しし、VPN・多要素認証・バックアップといった基本対策を委託先にも求めること。そして委託先が破られても対応できるよう、通知・報告の段取りを事前に整えておくことが被害の連鎖を抑える鍵になります。本件は調査継続中のため、漏えい範囲の確定やデータ公開の有無について続報を追跡します。

📋 続報ログ

2026年7月8日

福岡大学が「本学が委託する筆記試験対策サイトへの不正アクセスについて（報告とお詫び）」を公表。最大3万3668人分の学生情報が漏えいの可能性。（大学公式リリース）

2026年5月8日

委託先ノストラムが、自社サーバへのランサムウェア攻撃と学習支援サービスの停止を公表。