大学関係者をターゲットに、メールシステムの管理者を装ってメールを送り付け、メールアカウントを乗っ取ろうとするフィッシング攻撃が行われている。5月以降、国内の3つの大学が被害にあい、メールに含まれていた個人情報が外部に漏えいしたことを明らかにしている。
■横浜市立大学、メールの不正転送で個人情報5794件が漏えい
横浜市立大学（本部：横浜市金沢区）は6日、教職員と学生のメールアカウント29件がフィッシングで乗っ取られ、これらのアカウント宛てに送られたメール3512通が外部に転送され、メールや添付ファイルに含まれていた個人情報5794件が漏えいしたと発表した。
同大学によると、4月24日から5月23日にかけ、同大学のメール管理者を装う英文のメールがメールアドレス1037件に送り付けられた。「送信サーバの障害によりメールの送信ができませんでした。再送信する場合は、以下のリンクをクリックしてください」という内容で、リンクをクリックすると、同大学で利用しているマイクロソフトのクラウドサービス「Office365」のログイン画面に酷似した、偽のログイン画面が表示された。
偽ログイン画面には、メール受信者のIDが初期値として表示されていた。この画面でパスワードを入力してサインインボタンを押したことにより、29のアカウントが乗っ取りの被害にあい、届いたメールが攻撃者の所有するメールアドレスに転送されるように設定された。
5月15日から30日までの間に、メール3512通が攻撃者に不正に転送されたという。これにより、差出人の氏名とメールアドレス3512件，および本文や添付ファイルに含まれていた個人の氏名、住所、電話番号2266件、学生情報16件、計5794件が漏えいしたことが確認されている。
同大学では事態発覚後、すべての教職員に対しパスワードの変更を呼びかけ、パスワードを変更していない場合はメールサービスにログインできないようにする措置をとった。また、漏えいが確認されたメールの差出人には謝罪文を送付した。添付ファイルやメール本文に記載されていた個人情報の漏えいについては、改めて事情説明や謝罪を行うという。
・【お詫び】電子メールの不正転送被害による個人情報の漏えいについて（横浜市立大学）
https://www.yokohama-cu.ac.jp/news/2018/pr/owabi180607.html
・電子メールの不正転送被害による個人情報の漏えいについて[PDF]（横浜市立大学）
https://www.yokohama-cu.ac.jp/news/2018/pr/dr3e64000000d0fh-att/180606_emailpressrelease.pdf
・【注意喚起】なりすましメールにご注意ください（横浜市立大学）
http://www-user.yokohama-cu.ac.jp/~ictpromo/index.php/2018/05/23/20180523/
■富山県立大学、メールの不正転送で210名の個人情報が漏えい
富山県立大学（本部：富山県射水市）は5月30日、教職員のメールアカウント5件がフィッシングで乗っ取られ、このアカウントに対して送られたメール275件が外部に転送されて学生の個人情報等が漏えいしたと発表した。
同大学によると、5月16日と同23日にクラウドサービスをかたるフィッシングメールがばらまかれ、教職員5名がIDとパスワードを入力した。このうち3名のアカウントについて、届いたメールが攻撃者宛てに転送されるよう設定され、5月16日から同28日までの間にメール275通が不正に転送された。
5月30日付の各紙の報道によると、不正転送されたメールには、聴講生21名の氏名、住所、電話番号、メールアドレスと、学生189名の氏名および学籍番号が含まれていた。ほかに、当該教職員の送受信フォルダに保存されていたメールが攻撃者に盗み見られた可能性もある。
同大学では、当該教職員5名のパスワードを変更する措置をとったほか、不正なメール転送を防止するためシステムの設定を変更したという。個人情報漏えいの対象者には経緯を説明して謝罪し、不審なメール等に注意するよう依頼した。
・富山県立大学におけるメールの転送被害による個人情報等の漏えいについて（富山県立大学）
http://www.pu-toyama.ac.jp/news/news_outline/2018/05/30/20337/
・富山県立大学におけるメールの転送被害による個人情報等の漏えいについて[PDF]（富山県立大学）
http://www.pu-toyama.ac.jp/wordpress/wp-content/uploads/2018/05/300530kaikensiryou.pdf
■立命館大学、メールの不正転送で264名の個人情報が漏えい
立命館大学（本部：京都市中京区）は5月2日、国際研修申し込み受付用のメールアカウントがフィッシングで乗っ取られ、このアカウントに対して送られたメールが外部に転送されて研修応募者264名の個人情報が漏えいしたと発表した。
同大学によると、乗っ取られたのは、同大学の歴史都市防災研究所が海外の文化遺産保護や防災の専門家を対象に募集した「2018年ユネスコチェア国際研修『文化遺産と危機管理』」の申し込み受付用アカウント。4月24日、事務局にメールシステムの管理者を装ったメールが届き、職員がメール内のリンクをクリックして、メールアカウントのIDとパスワードを入力した。攻撃者はこの情報を使ってメールアカウントに不正ログインし、アカウントに届いたメールが外部に転送されるように設定情報を書き換えていた。
漏えいが確認された個人情報は、応募者261名の氏名、生年月日、年齢、性別、国籍、メールアドレス、電話番号、現職などのほか、これらに加え顔写真や自宅住所なども含まれる参加申請書と履歴書3名分。また、不正転送されたメールの中に、上記261名の参加申請書および履歴書を保管していた外部共有フォルダのURLが記載されたものがあったことから、同フォルダにアクセスされてこちらも漏えいした可能性があるという。同フォルダにはパスワードがかけられていなかった。
同大学では、対象者に個人情報漏えいの事実をメールで報告し、謝罪している。
・国際研修参加申込者の個人情報漏洩に関するお詫びとご報告（立命館大学） 05/02
http://www.ritsumei.ac.jp/news/detail/?id=1045
（2018/06/12 ネットセキュリティニュース）