何が起きたか
この事故で流出した、または流出したおそれがある情報は、氏名、生年月日、性別、出生地、住所、電話番号、メールアドレス、2005年以降の口座情報（IBAN）。健康保険番号、奨学金の番号、休学の理由などが含まれるおそれ。約60万件。成績と試験の情報は含まれないです。その後の対応と影響は、入学手続きのシステムを止め、州の刑事警察と外部の専門家と調査している。念のためほかの学務システムも止め、入学手続きは9月22日に再開した。手続きの期限を延ばした。闇サイトでの公開を監視しているです。
原因になったのは「入学手続きシステムへの侵入（侵入経路は公表されていない）」です。公表された内容では、生成AIは事故に関わっていません。
- 中心 直接の原因確定
権限の無い者が入学手続きのシステムに入り、学生の基本情報を取り出した。侵入の方法と期間は公表されていない。
- 1つ外側 流出した情報確定
氏名、生年月日、性別、出生地、住所、電話番号、メールアドレス、2005年以降の口座情報（IBAN）。健康保険番号、奨学金の番号、休学の理由などが含まれるおそれ。約60万件。成績と試験の情報は含まれない。
- いちばん外側 その後の対応と影響確定
入学手続きのシステムを止め、州の刑事警察と外部の専門家と調査している。念のためほかの学務システムも止め、入学手続きは9月22日に再開した。手続きの期限を延ばした。闇サイトでの公開を監視している。
なぜ起きたか
詳しい経緯は公表されていない。大学は、攻撃がいつ始まりどれだけ続いたかはまだ分からないと説明している。パスワードと大学のIDは含まれないとしている。
原因の種類は「不正アクセス」です。第三者がシステムに入り、情報を見たり持ち出したりした事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は131件あります。
事故が起きてから公表されるまで
- 2026年9月16日大学が入学手続きのシステムで不正な動きを見つけ、止める
- 2026年9月19日大学が学生情報の流出のおそれを公表する
- 2026年9月22日入学手続きのシステムを作り直して再開する
- 2026年9月28日大学が約60万件が対象と更新する
どうすれば防げたか
上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。
止められた可能性がある所（当社の見立て）卒業や退学から長く経った学生の口座情報や連絡先を消す期限を決め、入学手続きのような外部に開いたシステムを定期的に点検していれば、被害の範囲を小さくできた可能性がある。
この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。
自社で確認する3つの手順
上から順に、短い時間で確認できるものを並べています。
- 申し込みや入会の受付システムに、何年分の個人情報が残っているかを確認する
- 口座情報など、手続きが終わった後に不要になる項目の削除期限を決める
- 外部に開いた受付システムの脆弱性診断の時期と結果を確認する
自社に同じ原因があるか
当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。
出典と更新の履歴
- Information über einen Datenschutzvorfall（LMU）2026.09.19
- Questions about the data security incident（LMU）2026.09.28
