東北大学で不正アクセス、教員PC踏み台に治験NASまで侵入で個人情報漏えいの可能性

「東北大学で起きた不正アクセス、いったい何が漏れたんでしゅか？」
「教員のパソコンが踏み台って怖いでしゅよね……」

チップス

ボス、東北大学の不正アクセスが大きく報道されてましゅよ。治験の患者情報が漏れたかもって、想像以上に重い話でしゅよね……

ボス

そうだな。教員PCを起点にサーバ、そしてNASまで波及した。研究系・医療系のサプライチェーンが組織内で密結合している国立大学ならではの構図だ。事実関係から整理していこう。

東北大学および東北大学病院は2026年5月1日、サーバとNASへの不正アクセスを公表しました。
本記事では、判明している事実関係と、組織のセキュリティ担当者が学ぶべき教訓を整理していきます。

研究機関や病院を抱える組織にとっては、自組織のリスクと重ね合わせて読み解きたい事例です。
事件の時系列、漏えいの可能性のあるデータ、教訓となる対策ポイントの順に解説していきます。

事件の概要と時系列

東北大学の公式発表によれば、本件は教員PCの不正利用を起点とした、組織横断的な侵害事例です。

教員PCからNASまでの侵害経路

不正利用された教員のPCを足がかりに、大学が管理するサーバへのアクセスが行われ、その後の調査で大学病院の治験業務資料を保管していたNASにも不正アクセスがあったことが判明しました。
時系列は以下の通りです。

チップス

検知から2週間ちょっとで正式公表って、対応スピードはむしろ早いでしゅね。

ボス

そうだ。漏えい範囲の精査と関係機関への報告を並行で進めたうえでの公表は、危機対応として参考になる動き方だな。

原因と組織が学ぶべき教訓

本件で漏えいした可能性のある情報は、機微度が極めて高く、対策も単純ではありません。

漏えい可能性のあるデータと影響

NASに保存されていたのは、臨床試験に参加した患者の氏名や住所といった個人情報や、臨床試験の手順書などでした。
医療業務への直接的な影響は確認されていないものの、治験参加者にとっては大きな不安要素です。
本件のリスクは主に次の3点で整理できます。

他組織がいま見直すべき設計

本件は、エンドポイント侵害が組織内ネットワーク経由でNASへと連鎖する典型的なシナリオを示しています。
大学・病院・研究機関の担当者の方が見直すべき項目は以下の通りです。

チップス

研究室のPCって、自由度が高い分どうしても穴が出やすいでしゅよね……

ボス

そこを補うのが、研究端末のセグメント分離とNASへのアクセス制御だ。研究の自由とセキュリティの両立は、設計次第で十分に可能だぞ。

まとめ

東北大学の不正アクセス事案は、教員PC1台の侵害がNASへ波及し、治験参加者の機微情報を脅かすに至るという、研究機関の構造的リスクをはっきり示しました。
大学・病院・研究機関の担当者の方は、エンドポイント保護とネットワークの分離設計を改めて点検していきましょう。
詳細は東北大学の公式発表を参照してください。