大阪大学：学内宿泊施設の予約システムに不正アクセス、データベースが消去され、利用者4万3,213人分の情報の流出の痕跡は見つからず

1. 2020-12-01

   委託先のセキュリティ会社の指摘で、学内宿泊施設予約システム（RRS）のサーバに学外から不正にアクセスされたことが分かった。同日のうちにサーバへの通信を切り、システムを止めた。 [1] [4]

2. 2020-12-09

   個人情報が漏れた可能性を公表した。 [1] [2] [3]

3. 2021-02-24

   この日までに、外部の事業者がアクセスログを調べた結果が明らかになった。不正アクセスでシステムのデータベースが消去されたと分かった。 [5]

漏れたおそれがあるのは、2017年4月の運用開始から2020年12月1日までの利用者43,213人、46,630件分の、予約のときに入力した項目。日経クロステックによると、氏名、生年月日、電話番号、住所、メールアドレスなどが含まれ、学内15か所の宿泊施設や寮の利用者が対象になる。二次被害は確認されていない。 [1] [3] [4]

外部の保守会社が影響を調べると、個人情報を入れていたデータベースが消されていた。このシステムは、11月中旬にOSの更新が行われ、11月下旬に公開したばかりで、更新で生じた脆弱性が不正アクセスにつながった可能性もあるという。原因は調査中とした。連絡先が分かる利用者には順次知らせている。 [1] [4]

2017年4月の稼働前の分も含めてアクセスログを調べると、データベースを消した操作の痕跡はあったが、データをダウンロードした痕跡や、バックドアを置いた痕跡は見つからなかった。システムは止まっており、学内宿泊施設の予約は手作業で受け付けている。消去されたデータベースのバックアップはあるが、このシステムは再開せず、新しいシステムの導入を考えている。 [5]