京都外国語大学で個人情報が漏えいしたのでしょうか？ 自分も対象なのか、何を確認すればよいのでしょうか。学校法人京都外国語大学は2026年11月10日、旧ホームページサーバーへの不正アクセスによって、卒業生や当時の学生・教職員、関連学校への資料請求者など5,376人の個人情報が外部から取得され得る状態だったと公表しました。
重要なのは「漏えいのおそれ」であり、持ち出しが確認されたわけではないことです。11月10日の公式発表時点では、外部への持ち出しや不正利用による二次被害は確認されていません。以下では、対象者・情報の種類・通知の受け取り方・攻撃の原因を公式発表と照合して整理します。確認日：2026年11月11日。
一次情報：京都外国語大学の公式発表（2026年11月10日、PDF3ページ）
京都外国語大学の情報漏えい、自分は対象？
対象の中心は、主に2000年～2017年に旧ホームページの申込みフォームなどから情報を登録した人です。大学・短大だけでなく、専門学校、高校、大学校友会に関係した人も含まれます。
| 区分 | 対象になり得る手続き・登録 | 人数 |
|---|---|---|
| 京都外国語大学・京都外国語短期大学（卒業生・当時の学生等） | 卒業生の登録、授業受講の記録、オープンキャンパスの申込み | 1,744人 |
| 同大学・短大（当時の教職員・学生団体等） | 当時の教職員のメールアカウント台帳、メーリングリスト会員、学生団体行事の申込み | 1,085人 |
| 京都外国語専門学校 | 資料請求、当時の学生・教員の欠席・遅刻・早退届 | 982人 |
| 京都外大西高等学校 | 学校案内の資料申込み、問い合わせ | 423人 |
| 京都外国語大学校友会（同窓会） | 住所・勤務先等の変更届、会員名簿の入力データ | 1,156人 |
表の各区分を足すと5,390人になりますが、複数の区分に含まれる人を重複して数えないため、全体の対象人数は5,376人です。表に該当する手続きをしたことがあっても、直ちに自分の情報が外部へ流出したと確定するものではありません。
どんな個人情報が対象？パスワードやカード番号は？
- 氏名、住所、電話番号、メールアドレス
- 学籍番号、勤務先、在籍校、学年
- 一部の人の生年月日
- 京都外国語専門学校の欠席等の届出の一部に含まれた健康に関する内容
クレジットカード情報は含まれていません。一方、大学は旧サーバー上に残っていたパスワード等のうち、現在も使用しているものを変更したと説明しています。一般利用者のログインパスワードが今回の対象情報として漏えいした、とまでは公表されていません。
氏名・電話番号・勤務先が組み合わさると、大学や同窓会からの連絡に見せかけた不審なメール・電話の材料になるおそれがあります。実際に悪用されたという意味ではありませんが、念のため警戒する価値があります。
対象者への通知はいつ？メールが届かない場合の確認方法
大学は、メールアドレスが分かる対象者に2026年11月11日以降、順次個別にメールで連絡するとしています。連絡先が分からない人には、公式サイトへの掲載をもって通知に代える方針です。
- 1．大学の公式サイト（kufs.ac.jp）を自分で開き、11月10日の「旧ホームページサーバーへの不正アクセス」のお知らせを確認する。
- 2．自分が2000～2017年ごろにオープンキャンパス申込み、資料請求、同窓会の住所変更などを行ったか、思い当たる範囲で確認する。
- 3．メールが届かなくても対象外とは判断せず、必要なら公式のお知らせに記載された本件専用窓口から問い合わせる。
大学が案内する専用フォームは本件専用お問い合わせフォームで、2026年11月10日16時から受け付けています。不審なメール内のリンクからはアクセスせず、公式PDFにも同じURLが記載されていることを確認して利用してください。問い合わせフォームでパスワードやカード番号を尋ねることはないと大学は説明しています。
今すべきことは？不審なメール・電話への対策
大学は「メールや電話でパスワード、クレジットカード情報、銀行口座情報、金銭の支払いを尋ねない」と明記しています。大学名、過去の在籍情報、住所などが書かれた連絡であっても、それだけで本物だと判断しないでください。
- 大学・同窓会を名乗る連絡で「確認のためログイン」「手数料の振込」などを求められても、リンクや添付ファイルをすぐに開かない。
- 差出人名だけで判断せず、正規の大学サイトからお知らせをたどる。電話で求められた場合もいったん切り、公式窓口に確認する。
- メールアドレス・電話番号などが対象だったとしても、カード再発行や全サービスのパスワード変更が一律に必要というわけではない。漏えいした情報の種類に応じて対策する。
- パスワードの使い回しがある場合は見直し、利用できるサービスでは多要素認証を有効にする。
- 健康に関する内容を知っているような不審な連絡があっても、その情報の真偽を相手に答えず、正規窓口に相談する。
IPAも、漏えいした情報の種類をまず確認し、突然届いたメッセージのリンクではなく正規のサイトから照合するよう勧めています。参考：IPA「自分の個人情報等が漏えいした際の『対処』と『日頃の対策』」。
不正アクセスはなぜ起きた？旧サーバーの3つの問題
今回の特徴は、現在の大学サイトではなく以前ホームページを公開していた旧サーバーが侵入されたことです。大学が公表した原因には、IT管理者が他の組織でも点検すべき具体的な問題が含まれます。
① ログインなしで使える更新機能が残っていた
大学によると、旧サーバーのホームページ更新の仕組みに、ログインせずに使える設定の機能が残っていました。大学は、ここから不正なプログラムが置かれたものと考えています。更新機能は本来、適切に認証・権限管理されるべき箇所です。
② サポート終了OSの修正されていない脆弱性を悪用された
サーバーのOSはサポートが終了しており、修正されていない脆弱性を利用されたと発表しています。ただし、OSの製品名、バージョン、CVE番号、実際の攻撃コマンドは公表されていません。一般論として、サポート終了後は新たに見つかった弱点が修正されないことがあり、インターネット公開を続けるほどリスクが高まります。
③ 使わなくなった個人情報とプログラムを削除していなかった
申込みフォームなどの過去の記録が旧サーバー内に残っていました。稼働中の新サイトが安全でも、外部から到達できる旧環境にデータが残れば、そこが情報漏えいの入口になります。「Webサイトを移行した」ことと「旧サーバーを停止・消去した」ことは別です。
技術的に何が起きた？仕組みを図解
以下は公表事項を基にした概念図です。具体的な通信経路や攻撃プログラムの動作を再現・断定するものではありません。
サポート終了OS
外部から取得可能な状態
※外部への実際の持ち出しは未確認。矢印は仕組みを説明するものです。
大学は、侵入中にサーバー内のファイルがまとめて読み込まれた記録があるとしています。しかし、「ファイルを読み込んだ記録」と「外部へ転送した事実の確認」は同じではありません。このため、現時点の結論は漏えいの「おそれ」です。
大学の対応と公表までの経緯
| 日付 | 確認された出来事 |
|---|---|
| 10月21日 | 不正アクセスの開始（後の調査で判明） |
| 10月30日 | 侵入痕跡を確認し、同日に旧サーバーをネットワークから切り離し |
| 11月2日 | 侵入範囲の調査を終え、対策本部を設置 |
| 11月4日 | 文部科学省・個人情報保護委員会へ報告、京都府へ連絡 |
| 11月5日 | 京都府警察に相談、JPCERT/CCに報告 |
| 11月6日 | 京都府に報告、校友会が個人情報保護委員会へ報告 |
| 11月10日 | 大学が事案を公表 |
| 11月11日以降 | 判明している連絡先へ順次メール通知 |
大学は旧サーバーを遮断し、ホームページを別のサーバーに移して、プログラムが動かない形で公開しています。また、旧サーバー内で現在も使われていたパスワード等を変更し、本学のメール等のアカウントについて、今回の侵入者による不正ログインの記録がないことを確認しています。外部専門業者による調査は今後実施する方針です。
企業・学校の情シス担当者が確認したい5項目
今回の事例は、攻撃対象が「今使っている本番環境」とは限らないことを示しています。同じ状況を見落とさないため、次の点を優先的に確認するとよいでしょう。
- 旧環境の棚卸し：旧Webサイト、検証用URL、過去のCMS、公開済みサブドメイン、停止予定サーバーを一覧化し、外部公開の有無を確認する。
- 認証と権限：更新機能・アップロード機能・管理画面が認証なしで使えないか、不要な権限がないか点検する。
- OSとミドルウェア：サポート期限、パッチ適用、外部公開ポート、不要なプログラムやスクリプトを確認する。
- 不要データの削除：過去の申込情報や名簿が公開Webサーバーに長期間残っていないか、保管・削除ルールとバックアップの扱いを見直す。
- 侵害後の確認：アクセスログ・認証ログ・プロセス実行・不審ファイル・外向き通信などを保存・調査し、必要なら外部の専門機関と連携する。
IPAの事業者向け注意喚起も参考になります：不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について。また、優先順位の付け方は当サイトのCVE・CVSS・KEVによる脆弱性対応ガイドでも解説しています。
よくある質問
Q. 京都外国語大学の現在の学生全員が対象ですか？
いいえ、大学が現在の全学生を対象と発表したわけではありません。主に2000～2017年に旧サイトで受け付けた情報が対象です。ただし、過去の手続きに該当する人が現在在籍している可能性もあるため、在学・卒業だけで機械的に判断できません。
Q. 大学からメールが来ないなら対象外ですか？
対象外とは限りません。大学はメールアドレスが分かる人には順次連絡しますが、連絡先が分からない人には公式のお知らせを通知に代えるとしています。心当たりがある場合は公式のお知らせと専用窓口で確認してください。
Q. 5,376人分の情報はすべて盗まれたのですか？
そのような発表はありません。5,376人は漏えいのおそれがある対象人数です。外部から取得可能な状態があり、ファイルをまとめて読み込んだ記録もありますが、情報の持ち出し・二次被害は11月10日時点で未確認です。
Q. クレジットカードは止めた方がよいですか？
大学は今回の対象情報にクレジットカード情報は含まれないと明記しています。本件のみを理由にカードを一律停止する必要性は示されていません。ただし、不審な決済など別の兆候があればカード会社に相談してください。
まとめ：対象かどうかの確認と今後の続報
京都外国語大学の旧サーバーは10月21日から10月30日まで不正アクセスを受け、過去の申込み情報など5,376人分が外部から取得可能な状態にありました。旧サーバーを遮断し、新サーバーへ移していますが、外部専門業者による調査結果などは今後の発表を待つ必要があります。
過去に大学・短大、京都外国語専門学校、京都外大西高等学校、校友会で申込みや登録をした人は、まず公式発表を確認してください。連絡先が不明な対象者には個別メールが届かない場合があり、メールが来ないことは安全の証明にはなりません。
出典・更新履歴：学校法人京都外国語大学公式発表（2026年11月10日）、IPAの個人向け対処案内（2026年10月26日）、IPAの組織向け注意喚起（2026年10月9日）。記事作成・内容確認：2026年11月11日。新たな調査結果は本日時点では未反映です。
