福岡大学就活対策サイト委託先「SMART SPI」がランサムウェア被害、学籍番号など最大3.3万人分が漏洩の恐れ

「大学が使ってるシステムもサイバー攻撃を受けるの？」
「学籍番号や試験の点数が漏れたら、就活に影響が出そうで心配…」

チップス

ボス、福岡大学の就活対策サイトで情報漏洩があったって聞きましたでしゅ！

ボス

ああ、大学が委託している外部の就職試験対策サービスがランサムウェア攻撃を受けたんだ。最大で3万3668人分の学生情報が漏洩した可能性がある深刻な事案だぞ。

大学自身は攻撃を受けていないのに、委託先経由で学生情報が危険にさらされた。典型的なサードパーティリスクの事例だ。

大学や学生が取るべき対策と、委託先管理の課題を把握できる。

ランサムウェア攻撃の概要

2026年4月17日、株式会社ノストラムが提供する就職筆記試験対策サービス「SMART SPI」のサーバに外部から不正侵入が発生した。
攻撃者はランサムウェアでファイルを暗号化するとともに、「バックドア」まで設置して継続的なアクセス手段を確保した。

4月19日にサーバが起動不能になったことで不正アクセスの可能性が発覚。その後の調査で、最大33,668名分の福岡大学生の個人情報が漏洩した可能性が確認され、2026年7月9日に福岡大学が公式サイトで公表した。

漏洩した可能性がある情報

漏洩の可能性がある情報の内訳は以下の通りだ。

クレジットカード情報・住所・マイナンバーは含まれていない。しかし学籍番号・氏名・受験結果の組み合わせは、就活過程でのなりすましや標的型フィッシングに悪用される恐れがある。

チップス

ボス、学籍番号と試験の点数が漏れても大丈夫でしゅか？

ボス

単体では大きな問題じゃないが、組み合わさると怖い。「あなたの試験結果に基づき再受験の案内があります」などと巧みに接触するフィッシング詐欺が想定されるな。

攻撃手口と深刻化する二次被害リスク

今回の攻撃はランサムウェアによるファイル暗号化だけにとどまらなかった点が特に深刻だ。

バックドア設置とデータ公開予告が脅威を拡大

攻撃者はサーバへの侵入後にバックドアを設置しており、ランサムウェアで暗号化しつつ同時にデータを窃取する「二重恐喝（ダブルエクストーション）」の手口が使われたとみられる。
福岡大学の公表時点で、攻撃者は自身のサイト上で「窃取したデータを公開する」旨を告知していた。

二重恐喝の手口が危険な理由は以下の通りだ。

また、委託先のノストラムへの攻撃だったにもかかわらず、被害が福岡大学の学生に及んでいる点はサプライチェーンリスクの問題そのものだ。
大学が自社のセキュリティをいくら強化しても、委託先が攻撃されれば学生情報は守れない。

チップス

ボス、福岡大学はどんな対応をしたんでしゅか？

ボス

公式サイトで報告と謝罪を公表し、不正利用が確認された場合は個別に連絡するとしている。就活に関係するサイトから不審な案内が来た場合は、大学の公式窓口に確認することが大切だな。

まとめ

福岡大学の就活対策サイト委託先「SMART SPI」へのランサムウェア攻撃は、委託先を経由した学生情報の漏洩という典型的なサードパーティリスクの事案だ。
最大33,668名分の学籍番号・受験結果が漏洩した可能性があり、攻撃者によるデータ公開予告で二次被害リスクが高まっている。
バックドアの設置や二重恐喝の手口からも、攻撃の組織性の高さがうかがえる。大学・企業ともに委託先のセキュリティ評価とインシデント発生時の連携体制を整備しておくことが急務だ。

ボス

委託先のセキュリティが自分たちの学生・顧客を守れるかにかかっている。契約時のセキュリティ要件確認を怠ってはいけないな。

チップス

はいでしゅ！委託先のセキュリティもちゃんとチェックしないといけないでしゅね！