佐賀大学でランサムウェア被害、約8万人分。流出したおそれのある項目に「パスワード」、病院の患者の病名も

• 佐賀大学は10月30日、事務部門が使うNAS（ネットワークにつなぐ記憶装置）がランサムウェアの被害を受け、学生、教職員、元学生、元教職員、関係者ら約8万人分の個人情報が外部へ流出したおそれがあると発表した
• 流出したおそれのある項目には、氏名や住所に加えてパスワードが入っている。附属病院の患者の診療科、傷病名、受診日も含まれるが、患者の件数はまだ調査中だ
• 大学の関係者だった人は、同じパスワードを使い回している先を変えること、大学や関係機関を名乗る連絡に気をつけることを、今日のうちにやっておきたい

大学が発表したこと

共同通信とサガテレビによると、システム内のファイルが改ざんされ、脅迫文も確認されている。大学は佐賀県警に相談しながら対応しているという。なお、一部の報道に被害の日を「10月24日」とするものがあるが、大学の発表では9月24日だ。

「パスワード」が入っていることの重さ

ここからは筆者の見方だ。今回の項目でいちばん気になるのはパスワードである。大学の発表は、どのシステムのパスワードなのか、そのまま読める形で保存されていたのか、元に戻せない形（ハッシュ）に変えられていたのかを明らかにしていない。

形がどうであれ、利用者の側でできることは同じだ。メールアドレスとパスワードの組が出回ると、ほかのサービスに同じ組で次々にログインを試す攻撃（パスワードリスト攻撃）に使われる。大学で使っていたパスワードを、通販サイトやSNS、銀行のアプリで使い回している人は、そちらを先に変えておくほうがいい。

患者の情報は「要配慮個人情報」

附属病院の患者の診療科、傷病名、受診日は、法律上「要配慮個人情報」として、とくに慎重な扱いが求められる情報だ。本人にとっては、住所や電話番号よりも他人に知られたくないことが多い。

大学は患者の件数をまだ調べている段階で、誰の情報が含まれるのかは分かっていない。受診したことがある人は、大学や病院からの個別の連絡を待つことになる。一方で、それより先に病院や保険会社をかたって「治療の件で」「給付金の手続きで」と近づく連絡が来ても、応じないことだ。

関係する人がいまやること

1. 佐賀大学で使っていたパスワードを、ほかのサービスで使い回していないか確かめ、使い回している先を変える
2. 大切なサービスには二段階認証を入れる
3. 大学、病院、関係機関を名乗るメール、SMS、電話のリンクや添付ファイルは開かない。大学もこの点を呼びかけている
4. 心配なときは、大学の公式サイトに載っている窓口へ自分から問い合わせる。届いた連絡に書かれた番号には掛けない

卒業して何年もたつ人も「元学生」として対象に入っている。自分には関係ないと思わずに、1の確認だけでもしておきたい。

大学という組織の難しさ

これも筆者の見方だ。大学は、学生や教職員だけでなく、卒業生や病院の患者まで、長い期間にわたって多くの人の情報を持つ。しかも、事務、教育、研究、医療のシステムが同じ組織の中に並ぶ。今回は事務部門のNASが被害の起点として発表されたが、どこから入られたのかはまだ示されていない。続報で、侵入の経路と、患者の情報がなぜ事務部門の装置にあったのかが説明されるかを見ておきたい。

今月は、外務省でも、検知から公表まで3か月かかった不正アクセスが明らかになった。佐賀大学は被害の4日後に第一報を出し、流出のおそれを約1か月後に公表している。

まとめ

• 佐賀大学の事務部門のNASがランサムウェアの被害。約8万人分と附属病院の患者の情報が流出したおそれ。患者の件数は調査中
• 項目にはパスワードと、診療科、傷病名、受診日が含まれる
• 被害の確認は9月24日、流出のおそれの公表は10月30日。脅迫文も確認されている（報道）
• 関係者は、使い回しているパスワードを変える、大学や病院を名乗る連絡に応じない

出典

• 国立大学法人佐賀大学「事務情報システムにおけるランサムウェア被害の発生について」（2026年10月30日）
• 国立大学法人佐賀大学「事務情報システムにおけるランサムウェア被害の発生について」（2026年9月28日）
• 共同通信「佐賀大、8万人分漏えいか ランサム被害、患者情報も」（2026年10月30日）
• サガテレビ「佐賀大学にサイバー攻撃 約8万人の個人情報流出か 大学病院患者の病名や名前も」（2026年10月30日）

本記事は2026年10月31日時点の情報に基づく。「パスワード」が入っていることの重さ、大学という組織の難しさは筆者の見方である。