2024年5月28日、本学教員の Microsoft365(M365) アカウントが第三者による不正アクセスを受け、学内利用者及び一部取引先に対してフィッシングメールを送信する事案が発生しました。
関係する皆様に多大なご迷惑をおかけしましたことを心よりお詫び申し上げます。
現在の状況と今後の対応につきまして、次のとおりご報告いたします。
1.経緯
5 月某日に本学Ａ教員がフィッシングサイトでメールアドレスとパスワードを入力したことにより第三者に窃取され、5 月 25 日に海外からＭ365 へ最初のログインが行われました。第三者による次のログインは、事案が発生した 5 月 28 日午前 0 時頃で、A 教員を騙ったフィッシングメールが 5,675 件送信されました。同日早朝にフィッシングメールに気づいた本学利用者が状況をＡ教員に連絡し、A 教員が即時にパスワードを変更したことで不正アクセスは出来なくなりました。
また、同日午後には海外から本学 M365 利用者名によるログインを遮断しました。
しかしながら、A 教員を騙るメールであったため、約 30 名の学生がメールを信用し自身のメールアドレスとパスワードを入力してしまうというフィッシング被害に遭いました。
本学では被害の拡大を防止すべく、A 教員を騙ったフィッシングメールへの注意喚起を行うと同時に被害に遭った利用者に対しては本学システムのパスワードの変更及び学外サービスのパスワードの使い回しに対する注意喚起を行いました。
なお、現時点において、不正に得た情報が悪用されたという被害報告はございません。
2.被害状況
A 教員の Outlook 以外への操作ログは見つからず、実害は確認されていません。
送信されたメールアドレスの内訳は次の通りです。
本学学生：1,132 件、本学卒業生：1,173 件、本学教職員等：718 件、その他：165 件
3.再発防止策
学外からの M365 のアクセスにおいては多要素認証の導入を前学期中（8 月末まで）に実施することを計画し、また、日頃からフィッシングメールへの注意力を高めるため、標的型メール攻撃訓練も実施する計画を立てております。さらに、スマートフォン用のセキュリティソフトの全学導入を検討しております。