2024年7月、大分大学の図書館が提供する貴重書アーカイブの公開用サーバーが不正アクセスを受けるという事件が発生しました。この事件は、現代の大学が直面するサイバーセキュリティの課題を浮き彫りにしています。
大分大学事件の概要
7月30日、学外からの通報により、大分大学のホームページが改ざんまたは不適切な埋め込みの被害を受けている可能性が指摘されました。
調査の結果、図書館の貴重書アーカイブ公開用サーバーが不正アクセスを受けていたことが判明しました。原因は、サーバーで使用されていたPHP言語の脆弱性でした。この脆弱性を突いたHTTP攻撃により、サーバー上のファイルが改ざんされました。
さらに、不正ファイルによるSEOポイズニングが発生し、Googleの検索結果が汚染され、ユーザーが海外の不正なWebサイトに誘導される事態となっていました。大学は直ちに対応し、被害を受けたサーバーの運用を停止し、再構築を進めています。
大分大学公式サイトより：https://www.oita-u.ac.jp/01oshirase/20240826.html
幸いにも、個人情報や機密性の高い情報の漏洩は確認されていません。この事件は、大学におけるサイバーセキュリティの重要性を改めて示すものとなりました。では、なぜ大学がサイバー攻撃の標的となるのでしょうか？
なぜ大学が狙われるのか
大学が攻撃者にとって魅力的な標的となる理由はいくつかあります。
- 豊富な情報資産
大学は学生・教職員の個人情報、研究データ、知的財産、経営・財務情報など、多様で価値の高い情報を保有しています。 - システムの脆弱性
多様なシステムを運用する大学では、全体の把握が難しく、セキュリティの穴が生じやすい環境にあります。 - オープンな環境
学術の自由を重視する大学では、セキュリティと開放性のバランスを取ることが難しい場合があります。 - 予算や人材の制約
多くの大学では、セキュリティ対策に十分な予算や専門人材を確保できていない現状があります。
他大学での事例
大分大学の事件は氷山の一角に過ぎません。他の大学でも同様の事件が発生しています。
- 明治大学では、2022年10月に不正アクセスが発覚し、サーバーに保管されていたメールアドレスが窃取された可能性があることを発表しました。
明治大学公式サイト：https://www.meiji.ac.jp/koho/news/2022/mkmht0000002d8k4.html - 名古屋大学医学部附属病院では、教職員のメールアカウントが不正アクセスを受け、患者や学生の個人情報が含まれるメールが閲覧された可能性が明らかになりました。
名古屋大学大学院医学系研究科・医学部医学科公式サイト：https://www.med.nagoya-u.ac.jp/medical_J/news/important/2022/02/24161203.html - 学校法人廣池学園では2024年8月27日夜にランサムウェア攻撃を受け、麗澤幼稚園、麗澤中学・高等学校、麗澤大学の関係者情報が外部に流出した可能性があり、現在対策本部を設置し、外部専門家や警察と連携して調査・対応を進めています。
学校法人廣池学園公式サイト：https://www.reitaku.jp/news/info/60/
これらの事例は、大学全体でセキュリティ対策を強化する必要性を示しています。
求められる対策
大学のサイバーセキュリティを強化するには、以下のような多層的な対策が必要です。
- 技術的対策
定期的な脆弱性診断とシステムの更新、多要素認証の導入、暗号化技術の活用。 - 人的対策
全構成員を対象としたセキュリティ教育の強化、意識向上キャンペーンの実施。 - 組織的対策
インシデント対応体制の構築、セキュリティポリシーの策定と徹底、外部専門家との連携。 - 大学間協力
情報共有とベストプラクティスの学び合い、共同でのセキュリティ対策の実施。
まとめ
大学は、自由な学術探究の場であると同時に、重要な情報資産を守る責任も負っています。サイバーセキュリティの強化は、この二つの要請を両立させるための挑戦です。
大分大学の事例を教訓に、各大学はセキュリティ対策を見直し、強化する必要があります。技術的対策、人材育成、意識改革を通じて、大学は知の自由と安全を両立させる新たなモデルを構築していく必要があります。サイバー攻撃の脅威は今後も進化し続けるでしょう。
しかし、大学がこの課題に真摯に向き合い、適切な対策を講じていけば、学術の発展と情報の安全を両立させることは可能です。大学という知の殿堂を守り、次世代に引き継いでいくため、今こそ行動を起こす時なのです。