HOME / セキュリティ
SECURITY / 大学のLMSと情報漏えい
攻撃の手口は、AI の普及で年々安くなり、速くなっています。「うちは大丈夫」と言い切れる大学は、もうありません。大切なのは、起きた日に何ができるかを先に決めておくことです。このページでは、私たちが確認できた事実だけを並べます。Facts we could verify, with sources and dates.
Canvas のオープンソース版は AGPL-3.0、Moodle は GPL-3.0 で配布されています。どちらのライセンスにも、第 15 条（無保証）と第 16 条（責任の制限）があります。ソフトウェアは「現状のまま」提供され、著作権者は損害賠償の責任を負わない、と明記されています。セキュリティ修正を出し続ける義務も、ありません。
つまり、自前で立てたサーバーが Canvas や Moodle の脆弱性を突かれて侵入されても、開発元に賠償を求めることは、実務上ほぼできません。製造物責任法はソフトウェア単体に適用されにくく、大学は消費者ではないため消費者契約法の保護も受けられません。
法的な責任の構造は、Canvas OSS も Moodle も同じです。違うのはパッチが出続けるかどうか。私たちが 2026 年 9 月 27 日に、公開されている情報で確認した状態を、そのまま載せます。
| Canvas LMS（オープンソース版） | Moodle | |
|---|---|---|
| ライセンス | AGPL-3.0 | GPL-3.0 |
| 開発元の賠償責任 | ライセンス上なし（第 15・16 条） | ライセンス上なし（第 15・16 条） |
| 公開リポジトリの最終更新 | 2026 年 4 月 30 日master・prod・beta のいずれも同日。以降、約 5 か月の更新なし（2026 年 9 月 27 日確認） | 2026 年 9 月 14 日5.2.3 および 5.1.7 をリリース |
| リリースの計画 | 公開された計画は見当たらない | メジャーは 6 か月ごと（4 月・10 月）、マイナーは 2 か月ごと |
| セキュリティ修正の期間 | 明示なし | 通常版 18 か月、LTS 版 3 年（例: 4.5 LTS は 2027 年 10 月 4 日まで） |
| 脆弱性情報の公表 | 公開の窓口は見当たらない | moodle.org で公表。登録サイトの管理者には事前通知 |
| 保守を引き受ける相手 | 国内に定まった受け皿がない | Moodle パートナーや SIer と保守契約を結べる |
SaaS 版を契約すると、セキュリティ対応・障害の通知・責任の範囲が契約書に書かれた義務になります。相手が「やってくれるかもしれない」ではなく、「やることになっている」に変わります。これが、自前運用との最大の違いです。
| 修正の適用 | 提供元が全テナントへ適用。大学の作業は不要 |
| 障害の公開 | 大小を問わず日ごとに公開され、履歴が残る。大学は自分のインスタンスの稼働記録も確認できる |
| 稼働率 | Instructure は年間 99.9% の稼働を明示（Trust Center） |
| 責任の範囲 | 契約で定まる（上限額の設定は通常あります） |
| それでも残るもの | ダウンタイムも、侵入の可能性も、ゼロにはなりません |
最後の行が、このページでいちばん伝えたいことです。契約は責任の所在をはっきりさせるもので、事故を無くす魔法ではありません。A contract clarifies who is responsible. It does not make incidents impossible.
2026 年、教育分野を含む多くの組織が影響を受けた大規模な情報窃取の報道がありました。その渦中、ヨウムはフル稼働で動きました。とんでもないことになった——最初にそう思いました。けれど同時に、お客様はもっと心細いはずだと考えました。
だから私たちがやったのは、売り込みでも弁明でもありません。分かったことを、分かった順に、そのままお伝えし続けることでした。確認できていないことは「まだ確認できていません」と書きました。憶測で安心させることが、いちばん不誠実だと考えたからです。
「うちは大丈夫」とは、申し上げません。
起きた日に、いちばん早く動く会社でありたい。
攻撃側は AI で強くなり続けています。大学が狙われるのは、確率の問題ではなく時間の問題です。すでに複数の事案が表に出ており、公表されていないものも相当数あると考えるのが自然です。だとすれば、備えるべきは「侵入されない方法」ではなく、侵入された日の続け方です。Assume it will happen. Prepare for the day it does.
| 誰が報告するかを決めておく | 個人情報保護委員会への報告と本人通知は大学の義務です。誰が、何時間以内に、どの経路で動くのかを、平常時に決めておきます |
| 止まった日の授業を用意する | LMS に接続できない日でも、その日の教材だけは取り出せるようにしておく。perch Glide は、そのために作った製品です |
| 先生に配る 1 枚を先に作る | 手順書は、止まってから書いても間に合いません。日本語 1 ページを、紙で各棟に置いておきます |
| 自前運用なら、移行の判断を先送りしない | 修正が届かない版を使い続けることは、それ自体が安全管理措置の弱点になります。SaaS への移行は、その一手です |
ヨウムは Instructure の正規代理店として、導入の前も、事故の日も、同じ窓口で対応します。日本語のマニュアル、画面の中の使い方ガイド、停止時の備え。すべて「その日」のために用意しています。
セキュリティの相談をする Talk to us about security 止まった日の備えを見る See perch Glide