2020 年 11 月 10 日
在学生・卒業生・離籍者・教職員 各位
SFC-CNS および SFC-SFS への不正アクセスによる個人情報漏洩について（お詫び）慶應義塾常任理事（情報基盤(IT)、湘南藤沢キャンパス担当）
慶應義塾最高情報責任者
國領 二郎
このたび、湘南藤沢キャンパスの情報ネットワークシステム（SFC-CNS）および授業支援システム（SFC-SFS）において、何らかの方法でシステムの利用者 19 名（教職員）の IDおよびパスワードが窃取され、それを用いた外部からの不正アクセスと授業支援システム（SFC-SFS）の脆弱性をついた攻撃により、同システムから利用者の個人情報が漏洩した可能性があることが判明しました。このような事態が発生し、関係者の皆さまにご迷惑とご心配をおかけすることになりましたことを深くお詫び申し上げます。なお、現時点で 2次被害は確認されておりません。
調査の結果、漏洩した可能性がある個人情報は以下のとおりです。
いずれも、慶應義塾大学湘南藤沢キャンパス事務室が管理（システム管理は一部を業者に委託）していた学生・教職員等に関する個人情報となります。
ａ．漏洩した可能性のある個人情報の内容
ａ-1）学生情報
・件数：5,088 件
・詳細：学籍番号、氏名、アカウント名、湘南藤沢キャンパス発行のメールアドレス（●●@sfc.keio.ac.jp）、所属情報（学部、学年、クラス、学則）、入学年月日、在籍学期数
・対象者：① 総合政策学部、環境情報学部、政策・メディア研究科、看護医療学部、健康マネジメント研究科の 2020 年度秋学期在籍者② 2020 年度春学期に総合政策学部、環境情報学部、政策・メディア研究科の授業を履修した／授業で TA・SA を担当した他キャンパスの学生
ａ-2）学生顔写真データ
・件数：18,636 件
・詳細：入学時に学生証のために提出された顔写真のファイル（ファイル名は、ユーザとの対応を取るのは難しい形でハッシュ化されていた）・対象者：
1

① 総合政策学部、環境情報学部、政策・メディア研究科 2007 年度以降在籍者（既に離籍している学生含む）② 看護医療学部、健康マネジメント研究科 2016 年度以降在籍者（同）③ 総合政策学部、環境情報学部、政策・メディア研究科の特定の授業を履修する他キャンパスの学生 29 件（同）ａ-3）履修履歴（単位取得）情報
・件数：4,493 件
・詳細：単位取得授業科目の関連情報（科目名、科目担当者、単位取得年度学期）
・対象者：① 総合政策学部、環境情報学部、政策・メディア研究科の 2020 年 3 月 11 日現在在籍者ａ-4）教員情報・件数：2,276 件
・詳細：教職員番号、氏名、アカウント名、所属（兼務含む）、職位
・対象者：① 総合政策学部、環境情報学部、政策・メディア研究科、看護医療学部、健康マネジメント研究科に 2000 年 12 月以降所属していた専任教員（既に離籍している教員含む）② 総合政策学部、環境情報学部、政策・メディア研究科で 2000 年 12 月以降に授業を担当していた教員（非常勤等）（過去に担当していた教員含む）
ａ-5）教員プロフィールデータ
・件数：2,276 件
・詳細：湘南藤沢キャンパス発行のメールアドレス（●●@sfc.keio.ac.jp）、シラバス
システムおよび教員プロフィールシステムへログインするためのパスワード（SFC-CNS のパスワードとは異なる）、生年・対象者：① 総合政策学部、環境情報学部、政策・メディア研究科、看護医療学部、健康マネジメント研究科に 2000 年 12 月以降所属していた専任教員（既に離籍している教員含む）② 総合政策学部、環境情報学部、政策・メディア研究科で 2000 年 12 月以降授業を担当していた教員（非常勤等）（過去に担当していた教員含む）
ａ-6）教員住所データ
・件数：193 件
・詳細：自宅住所
2・対象者：① 2000 年 12 月以降 2009 年度までに登録された総合政策学部、環境情報学部、政策・メディア研究科、看護医療学部、健康マネジメント研究科に所属する専任教員（既に離籍している教員含む）② 2000 年 12 月以降 2009 年度までに登録された総合政策学部、環境情報学部、政策・メディア研究科で授業を担当する教員（非常勤等）（過去に担当していた教員含む）※該当する教員（元教員）193 名は特定されており、連絡先の判明する方については塾から順次ご連絡を行っております。以下の a-7～11 についても同様の対応をしております。
ａ-7）教員個人の電子メールデータ
・件数：2 名・詳細：教員個人が保有する電子メールデータ（上記のａ-1,3,4 の内容を含む可能性）
・対象者：不正アクセスが確認された利用者 19 名のうちの 2 名ａ-8）教員個人の電子メールデータ（8/20～9/16 受信分）
・件数：15 名
・詳細：教員個人が保有する電子メールデータのうち、8/20～9/16 受信分（上記のａ1,3,4 の内容を含む可能性）
・対象者：不正アクセスが確認された利用者 19 名のうちの 15 名a-9) 教員個人の keio.jp の電子メールデータ
・件数：5 名・詳細：教員個人が保有する keio.jp の電子メールデータ（上記のａ-1,3,4 の内容を含む可能性。全部まとめて取得したログは残されていない）
ａ-10）教職員個人のユーザホーム上のデータ
・件数：19 名
・詳細：教職員個人が保有するユーザホーム上に置かれたデータ（上記のａ-1,3,4 の内容を含む可能性）
・対象者：不正アクセスが確認された利用者 19 名ａ-11）職員および委託業者等情報・件数：233 件
・詳細：教職員番号、氏名、アカウント名、メールアドレス
・対象者：① 慶應義塾に所属し、SFC-CNS アカウントを所有する職員（他地区含む）② SFC-CNS アカウントを所有する委託業者等
3※その他の SFC-CNS および SFC-SFS に存在した個人情報についても、漏洩の可能性が完全には否定できない状況です。
ｂ．漏洩が判明した経緯
本学 IT 部門において、9 月 15 日 17:45 頃、SFC-CNS において不審なアクセスを検知し詳細を調査した結果、SFC-SFS への脆弱性探査が散発的に行われている形跡があり、さらに 9 月 28 日夜に SFC-SFS への不審なアクセスを検知したため、SFC-SFS システム上で詳細を調査した結果、9 月 29 日未明に SFC-SFS への不正アクセスによる情報漏洩の可能性が判明しました。
ｃ．漏洩が発生した原因
何らかの手段で利用者の SFC-CNS アカウントの ID およびパスワードが窃取され、それを不正利用されてシステムに侵入されたことと、SFC-SFS システムの Web サービスに存在していた脆弱性を利用されたことが主な原因であると現在までの調査では考えております。
ｄ．判明後の対応
不正アクセス判明後、以下の対応を実施しています（一部については継続して対応中です）。
・全ての利用者のパスワード変更を依頼（9 月 16 日、9 月 30 日）
・全ての認証箇所および認証ログ等を継続監視（9 月 16 日から継続）
・学外からの共用計算サーバへのログインを公開鍵認証のみに限定（9 月 16 日）
・脆弱性が確認された Web サービスの停止と、脆弱性箇所の改修【実施中】（9 月 16 日以
降順次、SFC-SFS は 9 月 29 日）
・SFC-SFS のシステムを停止し、これにより、総合政策学部、環境情報学部、政策・メデ
ィア研究科では、秋学期授業開始を当初の 10 月 1 日から 1 週間遅れの 10 月 8 日に繰り下げました。
ｅ．現在の状況
SFC-CNS アカウントの ID およびパスワードの漏洩経路については継続調査中です。現在
までに SFC-CNS システム内での具体的な漏洩箇所は確認されていませんが、システム内の全ての認証箇所および認証ログ等を継続監視している限りでは、その後、不審なアクセスは確認されておりません。
なお、SFC-SFS は 9 月 29 日 22:30 から現在もサービスを停止しております。
ｆ．再発防止策慶應義塾では、今回の不正アクセス事案をふまえ、全学的に Web アプリケーションやシステムのセキュリティチェックと改善、個人情報を守るための取り扱い見直し等、再発防4

止に向けた対策に早急に取り組んでまいります。また、2020 年 11 月 1 日付で学内にCSIRT（情報セキュリティインシデント対策チーム）を設置し、サイバーセキュリティへの包括的な対応をとれる組織づくりを実施するとともに、外部の専門機関とも連携しながら、全学的にさらなるセキュリティの強化に努めてまいります。
あらためまして、このような事態が発生し、関係者の皆さまにご迷惑とご心配をおかけすることになりましたことを深くお詫び申し上げます。なお、現時点では 2 次被害は確認されておりませんが、ご不明な点がございましたら下記問い合わせ窓口までお問い合わせくださいますようお願い申し上げます。

（本件に関するお問い合わせ先）
湘南藤沢事務室 不正アクセス問い合わせ窓口
E-mail： fusei-access2020@sfc.keio.ac.jp
以上5