佐賀大学は2026年10月30日、事務情報システムがランサムウェアの被害を受け、学生や教職員などの個人情報が外部に流出した可能性があると発表しました。
対象となる可能性があるのは、学生・教職員・元学生・元教職員・関係者など約8万人分です。氏名や住所、メールアドレスに加え、パスワードも対象情報に含まれます。
佐賀大学医学部附属病院の患者についても、診療科や傷病名、受診日などの情報が流出した可能性を否定できないとしています。患者情報の対象人数は調査中です。
大学や病院の関係者は、公式発表を確認し、不審なメールや電話に注意してください。患者と家族向けには病院が問い合わせフォームを用意しています。
今回の情報漏えいで分かっていること
大学によると、9月24日に事務部門が利用するNASでランサムウェアによるとみられる被害を確認しました。流出した可能性がある情報は次のとおりです。
学生・教職員・関係者など：氏名、生年月日、性別、住所、電話番号、メールアドレス、パスワード
患者情報：診療科、傷病名、受診日などの要配慮個人情報
大学関係者は約8万人分、患者情報の人数は調査中です。患者の人数や約8万人との重複の有無は公表されていません。
卒業生や元教職員も対象になる？
元学生や元教職員も、流出した可能性がある人の範囲に含まれています。
ただし、大学は対象者の在籍期間や卒業年度を公表していません。卒業生や元教職員の全員が対象なのか、自分の情報が含まれるのかは、現時点の公表内容だけでは分かりません。
大学との関わりが過去のことであっても、最新の公式発表を確認しておくとよいでしょう。大学の発表には、本件に関する問い合わせ先として広報室が記載されています。
佐賀大学広報室：0952-28-8153
佐賀大学の公式発表を見る
患者の病名や受診日も流出した可能性
大学は、患者情報として診療科、傷病名、受診日などが対象に含まれると説明しています。診療に関する情報は、本人が知られたくない事情を含む場合があります。自分や家族の情報が心配な人は、附属病院の案内を確認してください。
ただし、附属病院を受診したすべての患者が対象と発表されたわけではありません。対象人数や受診期間などの詳細は調査中です。
今回の発表は、これらの情報が実際に外部へ流出したことまで確認したものではありません。大学と病院は、外部への流出の可能性を否定できないと説明しています。
患者・家族は病院の公式フォームから問い合わせできる
附属病院は、受診した患者と家族を対象に、本件の問い合わせフォームを設けています。問い合わせ後、事実関係を調査して回答するとしていますが、調査には時間がかかる場合があります。
フォームは病院の公式案内ページから開けます。不審なメールやSMSに記載されたリンクではなく、病院の公式サイトから確認するようにしてください。
パスワードは変更したほうがいい？
大学が公表した対象情報には、学生や教職員、関係者などのパスワードが含まれています。
大学で使っていたパスワードと同じものを、メールやネット通販、SNSなど別のサービスでも使っている場合は、使い回している各サービスのパスワードを変更してください。
特にメールアカウントは、ほかのサービスのパスワード再設定にも使われるため、優先して確認したいところです。各サービスの公式アプリやブックマークからログインし、サービスごとに異なるパスワードに変更しましょう。利用できる場合は二段階認証も設定してください。
大学のアカウントについては、大学が案内する変更手順や窓口を確認してください。大学は、どのシステムのパスワードが対象なのか、どのような形式で保存されていたのかを明らかにしていません。
不審なメールや電話に注意
大学は、今回の件に関連して、大学や関係機関を装うメール、SMS、電話などが届く可能性があるとして注意を呼びかけています。
「情報が漏れたため、至急パスワードを変更してください」「補償の手続きに必要なので、口座情報を入力してください」といった連絡には注意が必要です。病院関係者を名乗り、病名や生年月日を尋ねられる場合も、相手を確認してください。
連絡を受けても、その場ですぐにリンクを開いたり、個人情報を伝えたりする必要はありません。いったん連絡を切り、大学や病院の公式サイトに掲載された窓口から確認してください。
附属病院は、10月30日の案内で、本件による二次被害は現時点で確認されていないとしています。今後の状況は変わる可能性があるため、続報も確認してください。
何が起きた？被害確認から公表までの経緯
佐賀大学の説明によると、被害を確認したのは9月24日午前8時42分です。事務部門が利用するNASで、ランサムウェアによるとみられる被害が見つかりました。NASは、ネットワークにつないで複数の端末からファイルを保存・共有できる装置です。
大学は被害が確認された機器をネットワークから隔離し、同日午後には事務用端末の利用を停止しました。その後、復旧作業を進め、9月27日午前11時3分に事務用端末の利用を再開。9月28日から通常業務を再開したと説明しています。
9月28日に被害を公表した後、外部の専門事業者にも調査を依頼。10月30日に約8万人分の個人情報と患者情報が流出した可能性を公表しました。
大学は侵入経路や影響範囲を引き続き調べています。事務用端末が利用を再開したことと、情報流出の調査が完了したことは別です。
ランサムウェアとは？データが流出することもある
ランサムウェアは、ファイルを暗号化して使えなくするなどしたうえで、復旧と引き換えに金銭を要求する不正プログラムです。
近年は、データを暗号化するだけでなく、外部へ持ち出した情報を公開すると脅す手口もあります。そのため、システムが復旧しても、保存されていた情報が外部へ流出していないか調べる必要があります。
今回、大学は事務部門のNASでランサムウェアによるとみられる被害を確認し、個人情報の外部流出の可能性を調査しています。具体的な侵入経路や、情報がどのように扱われたかは公表されていません。
附属病院の診療システムも被害を受けた？
大学は9月28日の発表で、教育・研究・診療業務に関係するシステムへの影響は確認されていないと説明していました。その後の調査で、事務情報システムの被害に関連して、患者情報が外部へ流出した可能性を否定できないことが分かり、10月30日に公表しています。
診療に関係するシステムへの影響と、事務部門が管理していた情報の流出可能性は分けて確認する必要があります。今回の発表だけで、電子カルテなどの診療システム自体がランサムウェアに感染したと判断することはできません。
よくある質問
佐賀大学の卒業生は全員対象ですか？
元学生は対象となる可能性がある人に含まれていますが、卒業生全員が対象とは発表されていません。在籍期間や卒業年度による対象範囲も未公表です。
附属病院に通院していた人は全員対象ですか？
対象人数や受診期間などは調査中です。通院歴がある人全員の情報が対象かどうかは分かっていません。心配な場合は、病院の公式案内にあるフォームから問い合わせできます。
パスワードは流出したと確定していますか？
パスワードは流出した可能性がある情報に含まれていますが、個々のパスワードが実際に流出したかどうかは公表されていません。別のサービスで同じものを使っている場合は、変更をおすすめします。
病院から電話が来たら、どうすればいいですか？
その場で個人情報を答えず、必要に応じて電話を切り、病院の公式サイトに掲載された窓口から確認してください。相手が病院関係者を名乗っていても、表示された番号や説明だけで本人と判断しないようにしましょう。
今後の発表を確認するには
佐賀大学と附属病院は、引き続き調査を進めるとしています。対象となる患者の人数や範囲、個別の連絡方法、侵入経路などについて、追加の案内があるか確認してください。
患者や家族は、病院の公式フォームから問い合わせできます。大学関係者も、身に覚えのない連絡には注意し、パスワードを使い回している場合は変更しておきましょう。
参考・出典
佐賀大学：事務情報システムにおけるランサムウェア被害について（10月30日）
佐賀大学：ランサムウェア被害の発生について（9月28日）
佐賀大学医学部附属病院：お知らせ・問い合わせフォーム
