HOME / セキュリティ
SECURITY / 大学のLMSと情報漏えい
攻撃の手口は、AI の普及で年々安くなり、速くなっています。「うちは大丈夫」と言い切れる大学は、もうありません。大切なのは、起きた日に何ができるかを先に決めておくことです。このページでは、私たちが確認できた事実だけを並べます。Facts we could verify, with sources and dates.
どれも大学自身が公表した事実です。カードを押すと、詳しい経緯へ進みます。
Canvas のオープンソース版は AGPL-3.0、Moodle は GPL-3.0 で配布されています。どちらのライセンスにも、第 15 条（無保証）と第 16 条（責任の制限）があります。ソフトウェアは「現状のまま」提供され、著作権者は損害賠償の責任を負わない、と明記されています。セキュリティ修正を出し続ける義務も、ありません。
つまり、自前で立てたサーバーが Canvas や Moodle の脆弱性を突かれて侵入されても、開発元に賠償を求めることは、実務上ほぼできません。製造物責任法はソフトウェア単体に適用されにくく、大学は消費者ではないため消費者契約法の保護も受けられません。
法的な責任の構造は、Canvas OSS も Moodle も同じです。違うのはパッチが出続けるかどうか。私たちが 2026 年 9 月 27 日に、公開されている情報で確認した状態を、そのまま載せます。
| Canvas LMS（オープンソース版） | Moodle | |
|---|---|---|
| ライセンス | AGPL-3.0 | GPL-3.0 |
| 開発元の賠償責任 | ライセンス上なし（第 15・16 条） | ライセンス上なし（第 15・16 条） |
| 公開リポジトリの最終更新 | 2026 年 4 月 30 日master・prod・beta のいずれも同日。以降、約 5 か月の更新なし（2026 年 9 月 27 日確認） | 2026 年 9 月 14 日5.2.3 および 5.1.7 をリリース |
| リリースの計画 | 公開された計画は見当たらない | メジャーは 6 か月ごと（4 月・10 月）、マイナーは 2 か月ごと |
| セキュリティ修正の期間 | 明示なし | 通常版 18 か月、LTS 版 3 年（例: 4.5 LTS は 2027 年 10 月 4 日まで） |
| 脆弱性情報の公表 | 公開の窓口は見当たらない | moodle.org で公表。登録サイトの管理者には事前通知 |
| 保守を引き受ける相手 | 国内に定まった受け皿がない | Moodle パートナーや SIer と保守契約を結べる |
SaaS 版を契約すると、セキュリティ対応・障害の通知・責任の範囲が契約書に書かれた義務になります。相手が「やってくれるかもしれない」ではなく、「やることになっている」に変わります。これが、自前運用との最大の違いです。
| 修正の適用 | 提供元が全テナントへ適用。大学の作業は不要 |
| 障害の公開 | 大小を問わず日ごとに公開され、履歴が残る。大学は自分のインスタンスの稼働記録も確認できる |
| 稼働率 | Instructure は年間 99.9% の稼働を明示（Trust Center） |
| 責任の範囲 | 契約で定まる（上限額の設定は通常あります） |
| それでも残るもの | ダウンタイムも、侵入の可能性も、ゼロにはなりません |
最後の行が、このページでいちばん伝えたいことです。契約は責任の所在をはっきりさせるもので、事故を無くす魔法ではありません。A contract clarifies who is responsible. It does not make incidents impossible.
2026 年、国内の大学で被害の公表が続きました。ここに並べるのは、大学自身が公表した文面で確認できたことだけです。報道でしか確認できていないことは、そう書きます。どれも他人事ではなく、手順を考えるための材料として読んでください。
2026 年 10 月 2 日未明、仮想化基盤システムで大規模な障害が発生しました。10 月 5 日の記者会見で、大学はランサムウェア攻撃によるものと判断したと公表しています。授業は 10 月 2 日から 8 日まで止まり、対面授業の再開は 10 月 9 日でした。
| 止まったもの | 仮想化基盤システム。大学の公式サイト自体も見られなくなり、発表は仮設サイト（omu.moe）で続けられました |
| 授業の戻し方 | 臨時 Moodle、臨時学生 Navi、学務情報システム、臨時授業カタログ、臨時デジタル窓口、QR 出席登録。「臨時の仕組みを立てる」ことで再開しています |
| 個人情報 | 10 月 5 日の会見で、仮想化基盤システム内の教務システム関連の情報 約 13 万件など。流出の有無は調査中とされました |
| 原因（10 月 21 日・第 5 報） | 保守・運用の委託先である NEC から、再委託先が 9 月下旬に攻撃を受け、その再委託先が持つ正規のアカウントで大学のシステムに不正アクセスされたとの報告。NEC のクラウドストレージ内にあった本学関連の個人情報等の漏えいも確認されたとされています |
| いま調査中 | 漏えいした情報の内容と件数（NEC へ確認中）。仮想化基盤システム内からの漏えいの有無 |
| 報告先 | 個人情報保護委員会、文部科学省、設立団体である大阪府・大阪市、JPCERT 等 |
報道では、サーバー約 500 台が停止し、バックアップの多くも暗号化されたと伝えられています。この 2 点は大学公式の文面としては確認できていないため、報道としてのみ記します。
入口は、大学の中ではありませんでした。
委託先の、そのまた先の、正規のアカウントでした。
2026 年 9 月 24 日 8 時 42 分、事務部門が使う NAS のファイルが暗号化されていることを確認。同日 16 時 45 分に事務用端末の利用を停止し、9 月 27 日 11 時 3 分に再開、28 日から通常業務に戻しています。公表文には「教育・研究・診療業務に関係するシステムへの影響は確認されていません」とあります。警察にも相談しながら、感染経路と影響範囲の調査を続けるとしています。
同じランサムウェアでも、止まった範囲と戻るまでの時間がまるで違います。事務系と教育系が分かれていたこと、その日のうちに止める判断が出たこと。この二つが効いた形です。
2026 年 6 月 15 日、法人が管理するサーバーが不正アクセスを受け、ランサムウェア感染が確認されました。第一報（6 月 30 日）では、バックアップから復旧済みで各学校の運営に支障はなく、「不正アクセスに伴うデータ流出は確認されておらず、金銭の支払い等も発生しておりません」と公表されています。
第二報（9 月 7 日）で、結論が変わりました。専門企業によるフォレンジック調査の結果、共有フォルダ内の複数のファイルが流出していたことが発覚し、一部に氏名や住所などの個人情報が含まれていることを確認したとされています。対象者・項目・件数は、いまも調査中です。
「現時点で確認されていない」は、
「無かった」ではありません。
これは武蔵野大学の落ち度ではありません。初報は、いちばん情報が少ない時点の報告です。だから大学に必要なのは、早く断定することではなく、確定した順に出し続けられる体制のほうです。学内にも、そう説明できる準備をしておくことをおすすめします。
警察庁の統計です。2026 年 1〜6 月（令和 8 年上半期）のランサムウェア被害の報告は 123 件で、半期として過去最多でした。
| 被害報告件数 | 123 件（半期として過去最多。前の半期は 110 件、前年同期は 116 件） |
| 規模別 | 中小企業 79 件／大企業 31 件／団体等 13 件 |
| 業種別 | 製造業 37 件に次ぐ並びのなかに、教育、学習支援業が 7 件 |
| 調査・復旧の費用 | 有効回答 35 件のうち、1,000 万円以上が 21 件（6 割）。1 億円以上も 4 件 |
| 復旧までの期間 | 有効回答 48 件のうち、即時〜1 週間未満 17 件、1 週間〜1 か月 6 件、1〜2 か月 4 件、2 か月以上 8 件、回答時点でまだ復旧中 13 件 |
出典: 警察庁サイバー警察局「令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について」統計データ（図表 4・図表 6・図表 7）。2026 年 11 月 8 日に参照。
2026 年、教育分野を含む多くの組織が影響を受けた大規模な情報窃取の報道がありました。その渦中、ヨウムはフル稼働で動きました。とんでもないことになった——最初にそう思いました。けれど同時に、お客様はもっと心細いはずだと考えました。
だから私たちがやったのは、売り込みでも弁明でもありません。分かったことを、分かった順に、そのままお伝えし続けることでした。確認できていないことは「まだ確認できていません」と書きました。憶測で安心させることが、いちばん不誠実だと考えたからです。
「うちは大丈夫」とは、申し上げません。
起きた日に、いちばん早く動く会社でありたい。
攻撃側は AI で強くなり続けています。大学が狙われるのは、確率の問題ではなく時間の問題です。すでに複数の事案が表に出ており、公表されていないものも相当数あると考えるのが自然です。だとすれば、備えるべきは「侵入されない方法」ではなく、侵入された日の続け方です。Assume it will happen. Prepare for the day it does.
SaaS だから攻撃されない、ということはありません。起きます。だからこのページでは、起きた日に何がどう動くのかを先に書いておきます。大学の負担がどこまでで、どこから先が提供元とヨウムの仕事なのか。平常時に知っておいていただくためです。
自前運用なら、夜中にサーバーを止める判断も、止めたあとの説明も大学の仕事です。SaaS では、切り離しと封じ込めは提供元が行います。大学の情報部門が深夜に出勤して、どこまで侵入されたかを自分で切り分ける必要はありません。手を動かすのは Instructure のエンジニアリングチームです。
Instructure は障害を大小問わず公開し、履歴が残ります。大学は自分のインスタンスの稼働記録も確認できます。記録が第三者に見える形で残ることは、学内と設置者への説明で効きます。「いま何が起きているか分かりません」と言わずに済むからです。
ヨウムは、英語の通知をそのまま転送することはしません。何が、なぜ、いつまでにを日本語に直し、学内で配れる形にしてお渡しします。
事故対応でいちばん削られるのは、技術的な作業よりも説明の回数です。学内の問い合わせ、執行部、設置者、取材、保護者。原因がまだ分からない時間帯にも、説明は求められ続けます。「分からない」と言えない空気が、担当者をいちばん消耗させます。
これは精神論ではなく、役割分担の話です。SaaS なら、「調査しているのは提供元で、分かり次第こう伝わります」と言い切れます。説明の責任は残りますが、原因を突き止める責任までは背負いません。ヨウムは、学内説明用の日本語の文面をこちらで用意します。そのまま配っていただいて構いません。
起きた日に守るものの中に、
担当者の人生も入れてください。
ランサムウェアは、暗号化と「公開するぞ」という二重の脅しで来ます。自前運用なら、払うか払わないかの判断は、大学と設置者に来ます。支払っても復元できる保証はなく、復元できたとしても、漏えいした事実は消えません。公的な資金で運営する大学にとって、この判断そのものが重い負担です。
武蔵野大学は第一報で「金銭の支払い等も発生しておりません」と明記しました。そう書けること自体が、備えの成果です。SaaS では、この判断の矢面に大学が立つことはありません。
今年の 3 件に共通しているのは、件数と内容の確定にいちばん時間がかかっていることです。武蔵野大学は三か月後に結論が変わり、大阪公立大学は委託先のクラウドストレージ分と自分の基盤の分を切り分けて、いまも調査を続けています。
ここは正直に書きます。個人情報保護委員会への報告と本人への通知は、SaaS を使っていても大学の義務のまま残ります。通知する主体は大学です。提供元が代わりに通知することはできません。だから、この部分だけは、どの形を選んでも準備が要ります。
大阪公立大学の入口は、製品の脆弱性ではなく、委託先の、そのまた先の正規アカウントでした。だから再発防止の中身は、多くの場合、製品の話になりません。
| 委託の棚卸し | 再委託の先まで一覧にできていますか。契約書に再委託の届出と監査の条項がありますか |
| 保守アカウント | 業者が持つ正規アカウントは何本ありますか。多要素認証は入っていますか。常時つながったままになっていませんか |
| 特権の最小化 | 管理者権限が要る作業のときだけ権限が立ち上がる形になっていますか |
| バックアップの隔離 | 本番と同じ資格情報で触れる場所に置いていませんか。一緒に暗号化されたら、バックアップは無かったのと同じです |
| 止まった日の授業 | LMS に入れない日に、その日の教材だけを取り出す道が用意されていますか |
SaaS にすると、この表のうち大学が自分で持つ行が減ります。ゼロにはなりません。減った分を、止まった日の授業の備えに回していただくのが、いちばん効きます。
| 自前運用・単独構築型 | Canvas LMS SaaS ＋ ヨウム | |
|---|---|---|
| 侵入の検知と封じ込め | 大学（夜間・休日も） | Instructure |
| サーバーの復旧 | 大学と業者 | Instructure |
| 原因の特定（フォレンジック） | 大学が外部に発注。費用も大学 | Instructure |
| 身代金を払うかの判断 | 大学と設置者 | 大学の机には来ません |
| 障害の公表 | 大学が一から作る | 提供元が公開し履歴が残る。ヨウムが日本語で補足 |
| 学内への説明文 | 大学 | ヨウムが日本語の下書きを用意 |
| 個人情報保護委員会への報告・本人通知 | 大学 | 大学（ここは変わりません） |
| 止まった日の授業 | 大学 | 大学（perch Glide で先に備えられます） |
| 再発防止の実装 | 大学 | 基盤は提供元、学内の入口は大学 |
太字の 2 行は、どの形を選んでも大学に残ります。ここを平常時に決めておくことが、いちばん費用対効果の高い備えです。
「◯◯に脆弱性」という見出しが出るたび、すべてが同じ重さの出来事として語られます。けれど実際には、何が起きて、誰がどう動いたのかで意味がまったく違います。冷静に切り分けること。それが大学にとって、いちばん実のある備えになります。
いまは AI が、人の目では見つけられなかった穴を探し当てる時代です。コードが書かれている限り、穴は見つかります。どの製品も、どの言語も、例外ではありません。
脆弱性が見つかったあと、塞ぐ作業が終わる前に、関係者が公表してしまいました。攻撃する側に、まだ直っていない穴の場所を教えてしまったということです。製品の出来の問題ではなく、手順の問題でした。
もう一点。よく話題に挙がる言語や基盤を、Canvas は使っていません。ただ、そこは本質ではないと考えています。使っている・使っていないを競っても、次の穴は別のところから出てくるからです。
問われるのは、穴が見つかったかどうかではない。
見つかったあと、誰がどれだけ速く動けるか。
| 人 | 夜中でも週末でも、すぐ手が動く技術者が常にいるか |
| 技術 | 原因を最後まで追い切り、根本から直せるか |
| 資金 | 作業が長引いても、止めずに続けられるか |
| 把握 | どこに、どこまで影響が出たかを、自分たちで突き止められるか |
Canvas LMS SaaS では、この 4 つを Instructure のエンジニアリングチームがまとめて引き受けます。大学の情報部門が待機する必要はありません。
大学が自前でサーバーを立てている場合、夜中に手を動かすのは大学の職員です。SaaS の形で使っていても、運営する組織の規模によっては、同じ速さで動けるとは限りません。外からは見えないぶん、不安はかえって残ります。
教育分野でこの問題の矢面に立ったのは Canvas でした。報道が先に走り、一時的に信頼が揺らいだ面はあったと思います。
ただ、ヨウムが確認できた範囲では、流出したデータが公開の場に晒される事態にも、その後の運用が脅かされる事態にも至っていません。十分な資金と、専任のエンジニアリングチームが最後まで動き切ったからだと考えています。
価格、細かい機能の有無、サポートが英語であること。そうした理由で別の選択をされているケースは少なくありません。我慢してください、とは申し上げません。そのうえで、Canvas LMS SaaS を選んだときに手元に残るものを並べます。
| 日本の運用 | 教務システム連携、出席、学修データ。日本独自の要件は youmu perch シリーズで補います |
| 日本語のサポート | 英文を訳して渡すだけの伝書鳩ではありません。製品と技術を分かっている人間が、日本語で答えます |
| セキュリティ | 穴が見つかった日に動くのは、Instructure のチームです |
| 世界とのつながり | LTI 1.3 という国際標準の上にあります。標準に乗るとはどういうことか — Office 365 を使わない国が、どれだけあるでしょうか |
| AI と国際化 | 言語の壁が下がり、COIL のような国際共修が、現実的な選択肢になります |
何が起きて、どこまで影響するのか。
冷静に見極めることが、いちばんの防御です。
Canvas LMS SaaS で起きたことは、Instructure が処理します。大学にお願いすることが生じた場合も、何を、なぜ、いつまでに — を、日本語で、分かりやすくお伝えします。英語の通知をそのまま転送することはしません。
自前運用や、1 大学ごとにサーバーを建てて運用だけを受託する形は、見積書の金額だけを比べれば、たしかに安く見えます。安く見えるのは、見積書に載っていない行があるからです。ここでは、その行に値段を付けます。
| 夜間・休日に動ける人 | 事故は平日の 10 時には起きません。当番を置くなら人件費、置かないなら復旧が遅れます |
| フォレンジック費用 | 「どこまで漏れたか」を自分では断定できません。外部の専門企業に出すことになります |
| 止まっている間の授業 | 休講にするのか、臨時の仕組みを立てるのか。大阪公立大学は後者を選び、それでも一週間かかりました |
| 通知と問い合わせの実務 | 対象者への通知、窓口の設置、対応の人手。件数が多いほど長引きます |
| 再発防止の工事 | アカウントの作り直し、権限の設計、バックアップの置き直し |
| 日程への影響 | 入試の出願、履修登録、成績処理。止まる時期によっては、お金では戻せません |
警察庁の調査（令和 8 年上半期、調査・復旧費用の有効回答 35 件）の分布です。
| 1 億円以上 | 4 件 |
| 5,000 万円以上 1 億円未満 | 6 件 |
| 1,000 万円以上 5,000 万円未満 | 11 件 |
| 500 万円以上 1,000 万円未満 | 3 件 |
| 100 万円以上 500 万円未満 | 5 件 |
| 100 万円未満 | 6 件 |
この分布に、各区間の代表値（100 万円未満＝50 万円、100〜500 万円＝300 万円、500〜1,000 万円＝750 万円、1,000〜5,000 万円＝3,000 万円、5,000 万円〜1 億円＝7,500 万円、1 億円以上＝1 億円）を置いて平均すると、一回あたり およそ 3,500 万円になります。
1 回あたりの調査・復旧費用 約 3,500 万円（警察庁の分布にヨウムが代表値を置いた概算）
代表値の置き方はヨウムによるものです。1 億円以上を 1 億円として数えているので、実際の平均はこれより大きくなります。また、この数字は「調査と復旧」だけで、授業停止・通知対応・再発防止の工事・日程の影響は入っていません。警察庁の数字そのものは件数の分布だけで、金額の平均は公表されていません。
「自前のほうが年いくら安い」という比較は、被害が一度も起きない前提での比較です。一回 3,500 万円を置くと、こうなります。
| 年あたり安くなる額 | 何年に一度の被害で、その差が消えるか |
|---|---|
| 年 200 万円 | 17.5 年に一度で帳消し |
| 年 500 万円 | 7 年に一度で帳消し |
| 年 1,000 万円 | 3.5 年に一度で帳消し |
| 年 2,000 万円 | 1.75 年に一度で帳消し |
教育・学習支援業の被害は、半期で 7 件が公表された分です。公表されていないものを含めれば、もっと多いと考えるのが自然です。何年に一度を見込むかは、各大学の判断です。ただ、その数字を置かずに「安いほう」を選ぶことだけは、おすすめしません。
安いほうを選ぶなら、
「何年に一度までなら耐えられるか」を先に決めてください。
1 大学ごとにサーバーを建て、運用を受託する形は、契約上の呼び名が SaaS でも、中身は自前運用に近いことがあります。見分けるための質問を 4 つ置きます。相見積もりのときに、そのまま聞いてみてください。
| 修正の当て方 | セキュリティ修正は誰が、どれくらいの頻度で当てますか。全テナントへ一斉ですか、大学ごとの作業ですか |
| 障害の記録 | 障害は、第三者が見られる場所に記録として残りますか。過去の履歴をいま見られますか |
| 稼働率 | 契約書に数字が書かれていますか。下回ったときの扱いは決まっていますか |
| 夜間・休日の体制 | 実際に手を動かす人は何人いますか。その人たちは、この製品の中身を読める人ですか |
大阪公立大学の入口は、委託先の、そのまた先の正規アカウントでした。運用を外に出したことと、責任を外に出せたことは、別です。どこまでを誰が持つのかが契約書に書かれていなければ、残りはすべて大学に来ます。
| 誰が報告するかを決めておく | 個人情報保護委員会への報告と本人通知は大学の義務です。誰が、何時間以内に、どの経路で動くのかを、平常時に決めておきます |
| 止まった日の授業を用意する | LMS に接続できない日でも、その日の教材だけは取り出せるようにしておく。perch Glide は、そのために作った製品です |
| 先生に配る 1 枚を先に作る | 手順書は、止まってから書いても間に合いません。日本語 1 ページを、紙で各棟に置いておきます |
| 自前運用なら、移行の判断を先送りしない | 修正が届かない版を使い続けることは、それ自体が安全管理措置の弱点になります。SaaS への移行は、その一手です |
ヨウムは Instructure の正規代理店として、導入の前も、事故の日も、同じ窓口で対応します。日本語のマニュアル、画面の中の使い方ガイド、停止時の備え。すべて「その日」のために用意しています。
セキュリティの相談をする Talk to us about security 止まった日の備えを見る See perch Glide