12/28号 ② 学生・教職員の個人情報流出か,メールアカウント乗っ取られる

ニュース概要

– 12月13日(日本時間)、熊本県立大学より、同大学が不正アクセスを受け、個人情報が流出した可能性があると発表されました。

– 被害を受けた可能性があるのは、同大学の学生・教職員らのべ5,288人分の個人情報(名前・メールアドレスおよび電話番号等)とされています。

– 同大学の名誉教授のメールアカウントが8月30日以降海外から不正にログインされ、12月6日～7日に当該アカウントから不審なメールの送信が確認されたことから発覚したとしています。

AUSからの所感

不審なメールは46件が相手に送信、一方で1,230件が遮断されてエラーメールが返っており、このエラーメールについて名誉教授から「出した覚えのないメールが多数返ってくる」と連絡があったのが発覚のきっかけとみられます。

大学におけるメールアカウントへの不正アクセス事案は、11月にも創価大学でスパムメール送信に悪用された事例があります。

今回の事例ではメールアカウントに多要素認証が設定されていた一方、名誉教授のアカウントは特例で多要素認証が設定されず、パスワードも簡単なものとされていたことが、不正ログインが成立した原因とされています。

外部への不審な内容のメール送信を遮断するよう、メールサーバー自体もしくはその前面にUTMの設置等ソリューションを導入すること、また多要素認証の導入が容易ではない場合は、少なくとも不審なログイン試行を検知・遮断する設定を行うことを推奨致します。