北海道釧路市は10月15日、市立小中学校の学習用端末の管理を委託している会社がランサムウェア（データを使えなくして金銭を要求する攻撃）の被害を受け、児童生徒と教職員のアカウント情報などが流出した可能性があると発表しました。

何が起きたのか

釧路市によると、市立小中学校の学習用端末の管理運用を委託している株式会社ポータスの社内サーバーが8月29日にランサムウェア攻撃を受けた。当初は市への影響はないと報告されていたが、外部専門機関の調査で、市の端末設定などの情報を保存していたサーバーに不正アクセスの痕跡が見つかり、10月13日に情報流出の可能性を否定できないとの報告があった。

流出の可能性があるのは、児童生徒と教職員の学校名、氏名、ふりがな、アカウント名、パスワードで、2020年度、2025年度、2026年度分の名簿（児童生徒は各年度8284〜1万1106件）が対象。このほか全39校分のネットワーク機器や学校用メールなどの管理用パスワードも含まれる。住所、生年月日、電話番号、口座情報、成績、健康診断の情報は含まれていない。現時点で流出や不正利用は確認されていない。

影響と注意点

アカウント名とパスワードが悪用されると、本人になりすましたログインにつながるおそれがあります。管理用パスワードが漏れれば、学校のネットワーク設定を変えられる危険もあります。市は全てのパスワードを速やかに変更し、保護者には学校を通じて説明するとしています。

コンサルタントのひとこと

保守や運用を委託している会社に、自社のどのパスワードや設定情報を預けているかを一覧にしてください。委託先が被害を受けたときにすぐ連絡をもらう取り決めと、パスワードを一斉に変更する手順を決めておくと、いざというときに慌てずに済みます。

参照: 釧路市、学習用端末の委託先がランサムウェア被害　児童生徒・教職員のアカウント情報や全39校の管理用パスワードが漏えいの恐れ（サイバーセキュリティ総研）