都立大教員の個人Googleアカウント不正アクセス｜流出の可能性423件の内訳と大学発表の範囲

東京都公立大学法人は2026年1月7日と8日、東京都立大学経営学研究科の教員が個人で取得したGoogleアカウントへの不正アクセスにより、個人情報423件と、教員が過去に送受信したメールの情報が外部へ流出した可能性があると公表しました。きっかけは、2025年12月2日に海外の研究者のアカウントから届いたフィッシングメールです。本記事では、大学の第一報・第二報に書かれた事実だけを使って経緯と件数の内訳を整理し、発表に書かれていないことを区別したうえで、大学や企業が同じ被害を避けるための対策をまとめます（2026年10月6日時点）。

まとめ：都立大教員の個人Googleアカウント不正アクセスで確認できる事実

• 原因：2025年12月2日、海外の研究者のアカウントから届いたフィッシングメールに誘導され、教員が個人で取得したGoogleアカウントの情報を入力し、窃取された。
• 発覚：2026年1月7日、そのアカウントから複数の宛先へドキュメント共有を装うフィッシングメールが送られ、受信者からの連絡で大学が把握した。
• 件数：流出の可能性がある個人情報は423件（イベント申込者等180件＋入試合格者等249件、うち重複6件）。ほかに教員が過去に送受信したメールの本文や添付資料も対象。
• 被害：発表時点で、個人情報の流出やそれに伴う被害の連絡は受けていない。
• 続報：2026年10月6日に大学のニュース一覧（お知らせ）を確認した時点で、第二報より後に本件の第三報・調査結果・再発防止策の掲載は無い。

この事案から読み取れる要点は、パスワードを盗まれたこと以上に、組織が管理していない個人アカウントへの不正アクセスで、平成29年度（2017年度）の申込者情報まで流出の可能性の対象に入ったことです。発表で確認できる対応は、該当者への説明と謝罪、教職員への注意喚起、全学的な対策の検討の3つにとどまります。

大学の発表で確認できる経緯：2025年12月2日の窃取から2026年1月8日の第二報まで

経緯は、第一報（2026年1月7日）と第二報（2026年1月8日）に記載されています。件数の表は第二報のPDFに掲載されています。

第一報・第二報で確認できる時系列と、窃取から認知までの約1か月

窃取の日付が12月2日と特定されている一方、大学が不正アクセスを知ったのは1月7日です。その間の約1か月、アカウントが第三者に使える状態だった可能性があります。気付いたきっかけは大学側の監視ではなく、偽メールを受け取った人からの連絡でした。個人取得アカウントでは組織による管理に制約がありますが、今回、大学や教員がどのような検知手段を利用していたかは公表されていません。

第一報・第二報に記載のない情報

第一報・第二報には、認証設定や関係機関への報告状況など、記載されていない事項があります。第一報・第二報の範囲で確認できないものを分けておきます。

• フィッシングメールの件名や本文の文面（発表は「海外の研究者のアカウントから受信したフィッシングメール」とだけ記載）
• 偽の共有メールの宛先が学内か学外か、送信ログや教員本人の説明の内容
• 当該アカウントで2段階認証を設定していたかどうか
• 警察への相談、個人情報保護委員会への報告の有無
• 講習や緊急点検、相談窓口の設置といった追加の対応

問い合わせ先として示されているのは、経緯について東京都立大学管理部文系学務課、再発防止策について東京都公立大学法人総務部総務課の2つです。公表資料で確認できない点については、これらの窓口への問い合わせが選択肢になります。

流出の可能性がある個人情報423件の内訳：3か年度のイベント180件と入試関連249件

第二報は、対象と件数、含まれる項目を表で示しています。「約」は付いていません。

平成29・令和5・令和6年度のイベント申込者等180件（実数）

第二報の表は、平成29年度・令和5年度・令和6年度のイベント申込者等を5区分で示しています。対象は3か年度に限られ、平成29年度から令和6年度までの全年度のイベントが含まれているわけではありません。

表の件数を足すと211件になりますが、第二報は件数をイベントごとに数えているため合計と実数に差があると注記しており、実数は180件です。含まれる項目は対象ごとに違い、第二報は対象者によって一部の項目が含まれない場合もあると注記しています。平成29年度の講座は本学学生のみで、氏名・学修番号・所属・学年・メールアドレス・住所・電話番号が含まれます。令和5・6年度のイベントは、氏名・勤務先・メールアドレスに加えて電話番号や職業が入り、アンケート回答者はメールアドレス・職業・年代だけです。

令和2〜7年度の経営学研究科入試関連249件の内訳とイベント分との重複6件

入試関連249件のうち6件はイベント分と重複しているため、全体は180件＋249件−6件＝423件です。423件は重複を除いた実数で、延べ人数ではありません。項目は、令和2・3年度のプログラム参加者が氏名・学修番号・所属プログラム・メールアドレス（令和2年度は勤務先も）、令和4〜7年度の合格者が氏名・所属プログラム・勤務先・メールアドレス・住所です。発表の項目名は「学修番号」で、学籍番号という語は使われていません。マイナンバーや成績についての言及もありません。

個人情報423件の件数に入らない「過去に送受信したメールの情報」の範囲

423件とは別に、教員が過去に送受信したメールの情報（メールアドレス、本文、添付資料等）も流出の可能性があるとされています。こちらは件数が示されていません。メールの相手方や、添付ファイルに含まれる第三者の情報まで考えると、影響を受けうる範囲は423件より広い可能性があります。大学は、第三者への流出の事実が確認された場合は該当者へ速やかに周知するとしています。

研究者を装うフィッシングと、乗っ取ったアカウントから偽メールを送る手口の一般論

ここからは都立大の事案の事実ではなく、同じ型の攻撃で一般に見られる仕組みです。発表の記述と混同しないよう分けて書きます。

研究者や大学教員は、面識の浅い海外の研究者からメールを受け取ることが日常的にあります。攻撃者はこの慣習を利用し、実在する研究者の乗っ取ったアカウントから、論文や資料の共有を装ってログイン画面へ誘導します。正規の送信経路が悪用されると、SPFやDMARCに合格する場合があります。送信ドメイン認証だけでは、本文やリンク先の安全性までは判断できません。

入力されたIDとパスワードで攻撃者がアカウントに入ると、受信箱やGoogleドライブの中身を閲覧し、連絡先に同じ型の偽メールを送ります。都立大の事案でも、乗っ取られたアカウントから「ドキュメント共有を装う」メールが送られたことで発覚しました。被害者が次の加害の起点になる構造で、受け取った側にとっては知人からのメールに見えます。手口の分類と見分け方はフィッシングとはで整理しています。

偽の共有メールを受け取った側が別の経路で確かめることと知らせる先

知人から突然「ドキュメントを共有しました」と届いたときは、本文のリンクを開く前に、送信者へ電話やチャットなど別の経路で送ったかどうかを確かめます。リンク先でGoogleのログイン画面が出た場合は、アドレスバーのドメインが accounts.google.com かどうかを見ます。共有されたファイルを開くだけなら、通常はログイン済みのブラウザで追加の入力を求められません。

不審だと判断したら、リンク先での入力をやめ、送信者本人に別の経路で知らせます。都立大の事案でも、大学が不正アクセスを知ったのは受信者からの連絡でした。所属組織の情報システム部門にも転送し、同じメールを受け取った人がいないか確認してもらいます。

個人取得アカウントに業務データを残していたことで生じた3つの問題点

パスワードを盗まれること自体は、どの組織でも起こりえます。個人取得アカウントでの業務情報の保管は、組織による管理や事故時の調査を難しくするリスクがあります。

個人取得アカウントに対する組織の監視・利用停止・調査の制約

大学が管理するアカウントであれば、管理者がログイン履歴や不審な転送設定を確認し、パスワードの強制リセットやセッションの切断ができます。個人で取得したアカウントでは、こうした操作を組織が行えません。今回の発覚は受信者からの連絡で、大学が調査に利用できるログの種類や保有状況は公表されていません。業務での私物アカウント利用は、いわゆるシャドーITの一種です。考え方はシャドーITとはにまとめています。

平成29年度の名簿まで対象に含まれた保存期間と削除運用の問題

流出の可能性がある情報には、平成29年度（2017年度）の講座申込者の名簿が含まれていました。ただし、名簿を当該アカウントに保存した時期や、保存を続けていた目的は公表されていません。一般論として、名簿ごとに保存期間を決めて期限が来たら消す運用があれば、乗っ取られたときに流出の可能性の対象となる範囲を狭められます。入試合格者の情報も、大学が組織として管理する学務システムに置くべき性質のものです。データの置き場所の設計は学務システムとはでも触れています。

「流出の可能性」の段階で公表する意味と、企業の漏えい等報告の対象

都立大は、実際の流出や被害の連絡が無い段階で「流出した可能性」として公表し、該当者へ説明と謝罪を行いました。乗っ取られたアカウントの中身は攻撃者がすべて閲覧できた前提で考える必要があり、件数を確定させてから公表するより、可能性の段階で知らせるほうが二次被害を防げます。

民間企業の場合、個人情報保護法では、不正アクセスのように不正の目的で行われたおそれがある漏えい等は、件数にかかわらず個人情報保護委員会への報告と本人への通知の対象です。個人情報保護委員会の案内は、発覚したらまず速やかに報告し、不正な目的によるおそれがある場合は発覚日から60日以内に確報を出すよう求めています。都立大の事案で同委員会などへの報告が行われたかは、公表されていません。

大学・企業が取るべき対策：組織管理アカウントへの移行と2段階認証の徹底

対策を、業務データの保存先、認証方式、乗っ取り発覚時の初動の順に整理します。

業務データの保存先を組織管理アカウントに限定する運用

最初に決めるべきは、個人情報を含む業務データを個人取得のアカウントで扱わないというルールです。教職員や社員が使うアカウントを組織で発行・管理し、退職や異動のときに停止できる状態にします。アカウントの発行と停止、認証方式を一元管理する仕組みは、ID管理基盤として設計できます。自組織の規模や既存システムに合わせた構成を検討するなら、認証基盤・ID管理システム開発について、必要な管理機能や既存システムとの連携条件をご相談いただけます。

Googleアカウントの2段階認証とパスキーによる認証強化

Googleアカウントでは2段階認証プロセスを有効にでき、パスキーも使えます。パスワードがフィッシングで盗まれても、2つ目の要素が無ければログインできません。ただし、SMSやワンタイムコードは偽サイトに中継される手口に弱いため、組織で管理するアカウントにはパスキーなどフィッシングに強い方式を優先します。方式の違いは二段階認証とはとパスキー認証とはで比較しています。

組織で管理するGoogle Workspaceでは、管理者がユーザーの2段階認証プロセスを設定・適用できます。Googleの管理者向けヘルプは、セキュリティキーを2段階認証の最も安全な要素でフィッシング対策に効果があると説明し、管理者アカウントにはGoogle側で2段階認証を適用しているとしています。個人アカウントではこの適用を組織が強制できない点が、運用上の大きな差です。

アカウントの乗っ取りに気付いたときの初動と、採用しないほうがよい対策

個人のGoogleアカウントで覚えのない送信やログインに気付いたら、Googleのハッキングまたは不正使用されたアカウントを保護する手順に沿って、パスワードの変更、不審なアクティビティの確認、転送設定や連携アプリの見直しを行います。組織の情報を扱っていた場合は、同時に所属組織の担当部署へ報告します。

逆に、「怪しいメールに注意」という注意喚起だけで終える対策は採りません。実在する研究者の本物のアカウントから届くメールは、注意深い人でも見分けにくいからです。注意喚起に加えて、フィッシングに強い認証方式と、組織が利用停止できるアカウント管理を組み合わせます。

企業のセミナー名簿や採用データにも当てはまる個人アカウント保存のリスク

都立大で流出の可能性があった情報の多くは、イベントの申込者やアンケート回答者、入試の合格者の名簿でした。企業に置き換えると、セミナーの参加申込者、展示会で集めた名刺情報、採用選考の応募者といった名簿にあたります。こうした名簿は、担当者が個人のアカウントやフォーム作成ツールで集め、イベントが終わった後も消されずに残りやすい性質があります。

点検の手順は単純です。

1. 部署ごとに、名簿を集めているフォームと保存先（共有ドライブ・個人のドライブ・メール）を書き出す
2. 個人アカウントに置かれているものを、組織が管理する保存先へ移すか削除する
3. 名簿ごとに保存期間を決め、期限が過ぎたものを消す担当者を決める
4. イベント用に作ったフォームの回答受付を、終了後に止める

この4点だけでも、乗っ取られたときに持ち出される情報の量は大きく変わります。都立大の事案では平成29年度の情報も流出の可能性がある対象に含まれており、古い名簿についても保存の必要性を点検する理由になります。

よくある質問

都立大教員のGoogleアカウント不正アクセスについて、件数、原因、被害状況、再発防止策を確認します。

都立大の不正アクセスで流出した可能性があるのは何件ですか？

個人情報423件です。内訳は、平成29・令和5・令和6年度に開いたイベントの申込者とアンケート回答者が180件（実数）、令和2〜7年度の経営学研究科の入試合格者等が249件で、このうち6件が重複しています。これとは別に、教員が過去に送受信したメールの本文や添付資料も流出の可能性がある対象です。

なぜ教員の個人Googleアカウントが乗っ取られたのですか？

大学の発表によると、2025年12月2日に海外の研究者のアカウントから届いたフィッシングメールに誘導され、教員がアカウント情報を入力したためです。メールの件名や文面、2段階認証を設定していたかどうかは公表されていません。

実際に個人情報が悪用された被害はありますか？

第二報（2026年1月8日）の時点で、大学は個人情報の流出やそれに伴う被害の連絡は受けていないとしています。2026年10月6日に大学のニュース一覧を確認した時点で、本件の続報は掲載されていません。大学は、第三者への流出が確認された場合は該当者へ速やかに知らせるとしています。

大学はどのような再発防止策を発表しましたか？

発表で確認できるのは、該当者への説明と謝罪、教職員への注意喚起（教育研究活動の情報の扱い、個人情報とアカウント情報の管理の徹底）、そして全学的な検討による対策の実施という方針です。第一報・第二報には具体的な規程の改定や新しい仕組みの導入内容は記載されておらず、2026年10月6日時点で大学のニュース一覧にも続報はありません。

個人のGoogleアカウントを仕事に使うのは危険ですか？

個人情報を含む業務データを扱うのは避けるべきです。組織が管理していないアカウントは、乗っ取られても組織がログイン履歴を確認したり利用を止めたりできず、流出の範囲も特定しにくくなります。今回の事案でも、大学は受信者からの連絡で初めて不正アクセスを知りました。

関連記事

• フィッシングとは？手口の種類・見分け方と企業が取るべき組織的対策を解説
• 二段階認証とは？二要素認証・多要素認証との違いと企業の導入判断を解説
• パスキー認証とは？仕組み・パスワードとの違い・企業の導入判断を解説
• シャドーITとは？該当する例とBYODとの違い・公的資料に沿った対策
• 2024年における上場企業の個人情報漏えい事故の全体傾向