広島学院中学校・高等学校は2026年10月27日、学校で配付したMicrosoft 365アカウントへの不正アクセスを公表しました。10月14日に海外からの不正ログインを確認し、生徒4件・卒業生2件・教員2件の計8アカウントが侵害されたと説明しています。
注意したいのは、侵害されたアカウントの数と、情報を閲覧された可能性がある人の数が同じではないことです。侵入先のアカウントから、ほかの学校アカウントの氏名やメールアドレスも見られる状態だったとされています。
1．何が起きた？2026年の侵害と2024年のメール送信を分けて確認
| 時期 | 学校が公表した内容 |
|---|---|
| 2026年10月14日 | 海外からの不正ログインを確認。8アカウントが侵害 |
| 2024年1月30日 | 乗っ取られた教員アカウントから2,107件のメールボックスへフィッシングメールを送信 |
2026年の事案では、閲覧の記録が残らない仕組みのため、氏名やメールアドレスが閲覧された可能性があるものとして対応しています。一方、2024年1月のメールでは、宛先に使われたアドレスと表示名が第三者に取得されたと説明しています。
2024年のフィッシングメールが、今回の8アカウント侵害の原因だったと公表されたわけではありません。2026年の不正ログインに使われた認証情報の取得方法は不明です。
2．卒業生・保護者は何を確認すればよい？
学校の発表には、卒業時期や保護者用アカウントの有無、転出・退職後にアカウントが残っていたかによって、対象が分かれる一覧があります。自分が対象かどうかは、公式発表の一覧と学校の窓口で確認してください。
対象になり得る情報は、氏名、学校配付メールアドレス、一部のTeams所属などです。住所や成績などは該当システムに登録されておらず、漏えいのおそれはないと学校は説明しています。
学校やMicrosoftを名乗るメールでも、本文のリンクからパスワードを入力しないようにしましょう。学校は、メールでパスワードの入力を求めることはないと案内しています。過去の不審メールで入力した覚えがある場合も、公式発表の窓口に相談してください。
3．学校が行った対応と、今後の対策
侵害されたアカウントは停止またはパスワード変更済みです。加えて卒業生367件、転出した元生徒11件のアカウントなどを無効化し、国外からのログイン遮断や外部アプリ連携の制限も行っています。
学校は今後、多要素認証の全員への導入、不要アカウントの定期点検、不審なログインの自動検知に取り組むとしています。発表時点で、今回に関係する個人情報の不正利用や二次被害は確認されていません。
4．ほかの学校・組織の管理者が確認したいこと
以下はMicrosoftの公開資料を踏まえた一般的な確認事項です。広島学院がこれらの操作をすべて実施したという意味ではありません。
- 侵害の疑いがあるアカウントのアクセスを止める。管理者がサインインのブロック、パスワードの再設定、セッションの取り消しを検討します。
- 関連する活動を調べる。サインイン履歴やメールボックスルール、外部アプリへのアクセス許可などを確認します。海外のIPという理由だけで侵害と決めず、本人の利用状況も照合してください。
- 卒業・退職後のアカウントを棚卸しする。残す目的と期限、無効化の担当者を決めます。
- 多要素認証とアクセス制御を見直す。利用者の業務や授業に必要なアクセスも確認しながら、導入範囲を決めてください。
Microsoftは、アクセスを取り消してから実際に反映されるまで時間がかかる場合があると説明しています。独自のセッションを持つアプリもあるため、パスワード変更や一度の取り消し操作だけで、すべての接続が即座に終了したとは判断しないでください。
5．公式情報と更新履歴
- 広島学院：Microsoft 365アカウントへの不正アクセスに関する発表（10月27日）
- Microsoft Learn：ユーザーアクセスを取り消す
- Microsoft Learn：リスクを調査する
更新履歴：2026年10月28日、学校の公式発表とMicrosoftの公開資料を確認して作成。学校の管理環境にはアクセスしておらず、操作手順の実機検証は行っていません。
