立教大学、学生・卒業生6名のGoogleアカウントが乗っ取られ迷惑メール1万7千件超 — 学外ログインの多要素認証を必須化

要点

• 立教大学は2026年9月8日、学内で利用しているGoogleアカウントが第三者の不正アクセスを受け、当該アカウントから学外へ多数の迷惑メールが送信されたと報告した。被害に遭ったのは学生4名と卒業生2名の合計6アカウントで、期間は2026年4月27日から8月24日にわたり、送信された迷惑メールは合計17,668件に上る。
• 発覚のきっかけは2026年7月16日の検知だ。大学は海外からの不正アクセスと迷惑メール送信を検知し、調査の結果、学生2名と卒業生2名（2026年3月卒業）の計4アカウントが4月27日から7月16日にかけて被害に遭っていたことを特定した。その後、8月12日から24日にかけて新たに学生2名のアカウントへの海外からの不正アクセスと迷惑メール送信を検知した。
• 被害の広がりとして、一部の迷惑メールの本文内に大学教員1名の氏名とメールアドレスが含まれていたことが判明し、大学は当該教員に事実関係と経緯を報告した。また、送信された迷惑メールの件名に、各アカウントの受信トレイに保存されていたメールに由来すると考えられる内容が含まれていたため、メール本文や含まれる個人情報が第三者に閲覧された可能性を完全には否定できないとしている。
• 大学は文部科学省などの関係機関へ報告した。現時点で、本件に起因する個人情報の悪用や新たな二次被害の報告・確認はないとしている。
• 他の学内システムへの影響調査では、Gmail以外のGoogle Workspaceアプリ、VPN、学内ネットワークに不正アクセスや侵入の形跡は確認されなかった。一方、Microsoft 365では1件のアカウントで不審なログイン履歴とプロフィール情報の閲覧の可能性が確認されたため、大学は直ちに当該セッションの切断・消去措置を取った。

大学が実施した対応

大学が報告した対応は次のとおりだ。

• 被害が確認された学生アカウントにアカウントの一時停止とパスワードの強制変更を実施した。卒業生のアカウントは2026年5月末日に削除済みで、現在はログインもメール送受信もできない状態だとしている。
• 学外からのログイン時における多要素認証（MFA：パスワードに加えて別の手段でも本人を確認する仕組み）の設定を、2026年8月24日から必須化した。
• 大学から心当たりのない件名・内容のメールや不審なメールが届いた場合、マルウェア感染やフィッシングサイトへの誘導の恐れがあるため、メール本文内のリンクのクリックや添付ファイルの開封をせず、メールごと削除するよう受信者に求めている。
• 今後の再発防止として、セキュリティ対策の強化に取り組むとしている。

日本の読者への影響

大学のGoogle WorkspaceやMicrosoft 365といったクラウドのアカウントは、学生・教職員が学外から日常的に使うため、乗っ取られると大量の迷惑メール送信の踏み台になる。今回の事例では4月下旬の最初の侵害から7月中旬の検知まで約2か月半が経過しており、長期間の不正利用を見逃さない検知と、学外アクセスへの多要素認証の必須化の重要性を示している。クラウドサービスを利用する組織では、卒業・退職など身分変更に伴うアカウント削除の徹底と、不審なログインの監視が求められる。不審な差出人のメールを受け取った場合は、リンクや添付ファイルを開かず削除することが基本だ。

出典

• 立教大学, 「不正アクセスによる迷惑メール送信に関するお詫びと報告」（2026年9月8日）: https://www.rikkyo.ac.jp/news/2026/09/mknpps000005brzy.html