国際武道大学の個人情報流出から学ぶ委託先管理の落とし穴

「委託先がやられたら自分たちも責任を問われるの？」
「個人情報を外部に預けるリスクって、どう管理すればいいの？」

チップス

ボス！国際武道大学で卒業生の個人情報が流出したって聞いたでしゅ！委託先のサーバが攻撃されたらしいんでしゅけど、大学に責任はあるんでしゅか？

ボス

もちろんある。委託先の管理責任は委託元にある。個人情報保護法でも「委託先の監督義務」が明記されている。他人に預けたから安心、では通らないんだ。

委託先を通じた個人情報漏洩は、教育機関に限らずあらゆる組織で起きています。
この記事では、国際武道大学の事案を通じて委託先管理の課題と具体的な対策を解説します。

この記事を読めば、委託先経由の情報漏洩リスクの構造を理解し、自組織が今すぐ実施すべき委託先管理の強化策が分かります。

国際武道大学で何が起きたのか

今回の事案は「自分たちのシステムは安全だった」では済まない、委託先リスクの典型例です。

委託先サーバへの不正アクセス——事案の経緯

システム保守を委託していた事業者のサーバが、2025年11月上旬に不審なアクセスを受けました。
委託先は検知後すぐにサーバをネットワークから遮断しましたが、その時点で卒業生の個人情報が外部に漏洩した可能性があると判明しました。
国際武道大学は2026年2月20日に文部科学省と個人情報保護委員会へ報告し、対象となる卒業生への個別説明と謝罪を実施しています。

流出した情報の種類と影響範囲

流出したとされる個人情報の内容は以下の通りです。

件数は約120人と小規模に見えますが、住所・電話番号・生年月日という組み合わせは、なりすましやフィッシング詐欺に悪用されうる機微な情報です。
本人への影響は数字以上に深刻になる可能性があります。

なぜ委託先経由の漏洩は繰り返されるのか

委託先を介した個人情報漏洩は、日本の教育機関・企業で後を絶ちません。その構造的な原因を理解することが重要です。

「委託したから安心」という思い込みが招くリスク

チップス

委託先がちゃんとセキュリティ対策してくれてると思ってたでしゅ…自分たちでも確認しないといけないんでしゅか？

ボス

当然だ。個人情報保護法第25条は「委託先の監督義務」を委託元に課している。契約書に書いただけでは不十分で、定期的な確認・監査が必要だ。

委託先管理で見落とされやすいポイントは以下の通りです。

教育機関に限らない——委託先経由漏洩の広がり

東京商工リサーチの調査では、2024年の上場企業における個人情報漏洩・紛失事故189件のうち、委託先を経由した二次的な被害が複数確認されています。
イセトーへのランサムウェア攻撃では上場企業8社に被害が波及した事例もあり、委託先リスクは教育機関だけの問題ではありません。
IPAも「情報セキュリティ10大脅威2026」でサプライチェーンリスクを2位に挙げており、組織全体での対応が求められています。

まとめ——今日から始める委託先管理の3ステップ

国際武道大学の事案は、委託先のセキュリティ対策の不備が自組織の情報漏洩につながることを示しています。
以下の3ステップで、委託先管理を見直してください。

ボス

委託先は「自組織の延長」だ。そこで起きたことは自分たちの責任になる。監督義務を果たすことが、信頼を守る唯一の方法だ。

チップス

うちの会社の委託先リスト、今日確認してみるでしゅ！契約書のセキュリティ条項もチェックするでしゅ！