浜松医科大学

漏えいした情報

規模

• 学生・卒業生 249人
• 患者（講義資料内） 1人

対象者

• 学生・卒業生
• 患者

原因

2024年6月のシステム更新時に開発事業者が設定を誤り、仮保存データの削除要件が設定されていなかったため、システムサーバの一時保存フォルダにあるデータが外部より閲覧可能になっていた

時系列

1. 2024年6月公開状態の開始
2. 2025/05/15卒業生から自身の氏名と学籍番号がネット上で閲覧できるとの連絡
3. 2025/05/15アクセス設定を変更
4. 2025/07/31Security NEXT報道日

対応

• 設定見直し
• 本人通知

あなたがすべきこと

1. 本人確認書類の番号は一生変えられません。CIC・JICCなどで信用情報を開示し、身に覚えのない契約やローンがないか確認する
2. 信用情報機関に「本人申告」を登録すると、審査でなりすまし申込みが慎重に確認される。より強い「貸付自粛制度」は自分も借りられなくなり、最初の3か月は撤回できない。どちらも口座開設は止められない
3. 会社からの通知メール・公式発表で、自分が対象か確認する

事業者への教訓

1. 委託先との契約にセキュリティ要件・監査権・報告期限を入れる
2. 共有・キャッシュ設定の変更は二人で確認し、公開前にテストする。クラウド設定は自動監視（CSPM）
3. 把握した不具合を放置しない。変更は検証してから本番へ
4. 本人確認書類・口座情報は保存しない。確認後に破棄するか外部の本人確認サービスに任せる
5. 個人情報保護委員会へ速報（3〜5日）と確報（30日、不正目的は60日）
6. レッドチーム演習とAIによる防御強化を行い、その投資額を公表する

出典

• Security NEXT 報道 · 2025/07/31