愛媛大学で3276人の個人情報が閲覧可能に　給与額や学生・附属高校生の成績も　学生の申し出で発覚

愛媛大学は9月18日、大学が利用する「Microsoft OneDrive」に保存されていた個人情報を含むファイルについて、本来は担当者のみで共有すべきところ、学生や教職員を含む大学の全構成員から閲覧できる状態になっていたと発表した。

対象となった個人情報は計3276人分。職員の給与支給額のほか、学部生や附属高校の生徒の成績情報も含まれていた。ファイルによって期間は異なるが、閲覧可能だった期間は2024年1月15日から2026年8月21日までに及ぶ。

大学によると、現時点で個人情報が不正に使用された事実や学外への漏えいは確認されていない。

学生からの申し出で発覚

事案が判明するきっかけとなったのは、大学内部の点検ではなく学生からの申し出だった。

大学の発表によると、7月16日、学生からの申し出を受けて確認したところ、OneDrive内に保存されていた給与関係情報や教職員情報が、本来の担当者だけでなく、大学からアカウントを付与されている学生や教職員にも共有され、閲覧可能な状態になっていることが判明した。

大学は同日、該当する共有権限を削除し、閲覧できない状態にした。

しかし、問題はこれだけではなかった。

同様の事例がないか再点検したところ、約1カ月後の8月21日、学生と附属高校生の成績情報についても同様に閲覧可能になっていたことが判明。大学はこのファイルについても同日、共有権限を削除した。

給与支給額1863人分、附属高校生の成績も

大学が公表した対象者は計3276人。

最も多かったのは給与関係情報で1863人分に上り、職員番号、氏名に加え、2023年4月から2024年1月までに支給された給与額が含まれていた。

教職員情報は1243人分で、2023年3月と2024年3月の在籍者について職員番号と氏名が閲覧可能になっていた。

さらに、学部生63人について氏名、評点、成績判定が含まれる2023年度開講の1科目の成績情報、附属高校の生徒107人についても2024年度と2025年度に開講された各1科目の氏名、成績情報が対象となった。

大学は、個人情報を含むファイルの所有者とファイル閲覧者への確認を行ったとしており、現時点では不正使用や学外への漏えいは確認されていないとしている。

大学自身が「全員共有」を避けるよう注意

今回の事案では、OneDriveの共有設定が焦点となる。

愛媛大学総合情報メディアセンターが公開しているOneDriveの利用案内では、個人の権利侵害などにつながる恐れのあるファイルについて、暗号化やパスワード設定を行うよう注意を促している。

さらにファイル共有については、「愛媛大学のユーザー」を共有相手として選択すると教職員と学生全員に共有され、情報漏えいにつながる恐れがあるとして、この設定を選択しないよう明記している。

今回、大学は個人情報を含む一部ファイルについて「アクセス権限の限定やパスワード設定を行っていなかった」と説明している。

一方、9月18日の発表では、こうした状態がなぜ発生したのか、対象ファイルを実際に閲覧した人数や、閲覧・ダウンロード履歴をどの範囲まで確認したのかなど、詳細までは明らかにしていない。

大学「情報セキュリティ対策の徹底図る」

愛媛大学は、個人情報が閲覧可能な状態となっていた対象者のうち、連絡先を確認できた人にメールまたは郵送で状況を説明している。

再発防止については、全教職員に対して個人情報保護と情報セキュリティ対策を徹底すると説明。「今回の事案を厳粛に受け止め」再発防止に万全を期すとしている。

今回確認されたのは、給与額や成績という取り扱いに慎重さが求められる情報だ。大学が公表しているOneDriveの利用案内でも全学共有につながる設定を避けるよう注意していただけに、なぜ長期間にわたって発見できなかったのか、アクセス権限を組織としてどのように管理・点検していたのかが今後の焦点となる。

このニュースのポイント

---

担当記者：松本