釧路市の学習用端末の委託先にランサムウェア アカウントとパスワードが流出の可能性

学習用端末の管理を外の会社に任せたとき、その会社のサーバーには何が残っているのでしょうか。北海道釧路市は10月15日、市立小中学校の学習用端末の管理・運用を任せている株式会社ポータスがランサムウェアの攻撃を受け、児童生徒と教職員のアカウント名やパスワードが流出した可能性があると発表しました。

市によると、攻撃を受けたのは委託先の社内サーバーで、学校の端末や市教育委員会のシステムではありません。ただ、委託先のサーバーには、市の端末の設定などの情報が保存されていました。

攻撃は8月29日、流出の可能性の報告は10月13日

攻撃から流出の可能性の報告まで、約1か月半かかっています。最初の報告では、市の分に影響はないとされていました。委託先の事故では、初めの「影響なし」が、詳しい調査のあとで変わることがあります。

委託先のサーバーにあった、3年度分のアカウント

流出した可能性があるのは、次の2種類の情報です。

市は、どちらにも住所、生年月日、電話番号、口座情報、成績、健康診断の情報は含まれていないとしています。10月15日の時点で、委託先が外部の専門機関に頼んで監視と調査を続けており、市の情報の掲載や不正利用は確認されていません。

表を見ると、委託先のサーバーには、2026年度の分だけでなく、2020年度と2025年度のアカウントの一覧も残っていました。パスワードがどんな形で保存されていたかは、発表に書かれていません。

市の対応は、全員のパスワードの変更

市は、すべての児童生徒と教職員のアカウントのパスワードと、学校のネットワーク機器や学校用メールアドレスなどの管理用パスワードを、速やかに変えるとしています。保護者には、各学校から経過を説明し、謝罪します。

あわせて、情報の取り扱いとその大切さを委託先に改めて伝え、管理の体制を確認して指導するとしています。問い合わせは、委託先のポータスが受け付けています。

影響するのは釧路市の学校の関係者、ほかの会社は委託の形を見直す

直接影響するのは、釧路市立の小中学校の児童生徒と教職員です。アカウントのパスワードが変わるので、学校からの案内に沿って使い方を確かめます。

市の外の学校や会社には、今回の流出の影響はありません。ただ、端末の管理（MDM）や初期の設定を外の会社に任せている組織は、同じことが起こりうる形かどうかを見ておく価値があります。初期の設定の作業では、利用者のアカウントの一覧や、機器の管理用のパスワードを、委託先に渡すことが多いからです。端末の管理の製品の違いは、MDM・UEMの製品の地図2026年秋15製品を対応OSと機能で図解にまとめています。

端末の管理を外に任せている会社が確かめる手順

1. 委託先が持っている自社の情報を、委託先に一覧にしてもらいます。利用者のアカウント名と初期パスワード、端末の設定、ネットワーク機器やメールの管理用のパスワードなど、何をどのサーバーに置いているかを確かめます。
2. 使い終わった年度や、終わった作業の情報を、いつ消すかを決めます。契約の書面に、作業が終わったあとの削除と、削除したことの報告を入れます。
3. 委託先に渡した管理用のパスワードは、作業が終わったら変えます。委託先と共有し続けるものは、共有の範囲と、変える時期を決めておきます。
4. 委託先で事故が起きたときの報告の期限を、契約に書きます。最初の報告と、調査の結果の報告の2段階で、いつまでに何を知らせるかを決めておくと、「影響なし」からの変更にも備えられます。
5. 利用者のパスワードを一斉に変える手順を、平時に用意します。今回の市のように、全員を変えることになったとき、案内の文面と、変更を手伝う窓口を誰が受け持つかを決めておきます。