13日の第6報で人数と情報の種類を説明
大阪公立大学は13日、10月2日のサイバー攻撃による情報基盤の大規模障害について第6報を出した。12日にNECから追加報告を受け、同社管理のクラウドにあった学生・教職員ら約17万人分のID、氏名、メールアドレス、生年月日などの漏えいを説明したものだ。その一部の約1400人分には、銀行口座番号や健康関連情報、パスポート画像、旅券番号も含まれる。約1400人を別の被害人数として加算することはできない。
移行後も残った過去のデータが含まれる
大学によると、機密性の高い情報の多くは、NECが2021年度のシステム移行で使用し、作業後も保存されていたデータだった。別紙は、健康関連情報やパスポート画像、海外渡航に関わる旅券番号について、主に2018～2021年度の在籍者などを対象として示す。大学は、長期保管と多くの関係者が利用する場所への保存を重大な問題と認識している。現在の在学生だけの事案と受け取らず、個別の対象範囲を確認する必要がある。
正規アカウントを悪用した侵入と判断
大学の説明では、再委託先の端末やクラウドから情報が漏れた直後、業務で使う正規アカウントとパスワードで大学へ不正アクセスが行われた。調査会社の複数の証跡も踏まえ、窃取された認証情報を悪用した侵入と判断している。別紙の概略図は、侵入後にサーバーやバックアップ等が暗号化された流れを示す。一方、大学本体のシステムから個人情報が流出した明確な事実は未確認で、可能性を否定できない段階とする。
個別連絡と調査の進展を公式案内で確認
大学は、対象者を具体的に特定でき次第、個別に状況説明と謝罪を行う予定とし、在学生には学生ナビでの確認を案内する。関西テレビも、不審な電話やなりすましメールへの注意を伝えた。編集上は、人数が判明したクラウド側の漏えいと、調査中の大学本体からの流出を分けて追う。今後の確認点は対象者・情報種別の確定と個別連絡の実施状況であり、今回の発表だけで調査終了や二次被害の有無を断定することはできない。