S流出のおそれ暫定評価

ポータス／釧路市立小中学校の端末管理情報事案の概要と評価

記事更新 2026/10/28

釧路市の委託先ポータスへの攻撃で、学習用アカウントや39校分の管理用パスワードに流出のおそれ。実流出は未確認です。

事案の概要

釧路市は2026年10月15日、学習用端末の管理を委託するポータスのサーバーへの攻撃で、児童生徒や教職員のアカウント情報が流出した可能性を公表しました。8月29日のランサムウェア攻撃後、外部調査で端末設定情報を置いたサーバーへの不正アクセス痕跡が見つかり、10月13日に報告を受けました。

学校の学習用端末や市教育委員会のシステム自体への攻撃ではありません。公表時点で情報の掲載や不正利用は確認されていません。

学校名、氏名、ふりがな、アカウント名、パスワードが対象です。2020年分は児童生徒11,106件・教職員879件・管理者4件、2025年分は児童生徒9,252件・教職員871件、2026年分は児童生徒8,284件・教職員837件です。年度間の重複が不明なため合算しません。

全39校のネットワーク機器や学校用メールなどの管理用パスワードも対象です。住所、生年月日、電話番号、口座情報、成績、健康診断情報は含まれません。

市は全児童生徒・教職員のアカウントと学校の管理用パスワードを速やかに変更すると説明しました。各学校を通じて保護者へ経過を伝えるとしています。

利用可能な学習・管理用パスワードが対象となる条件付きS2でS暫定。実取得・有効性・権限範囲は未確定。複数校を一つで支配する共通権限は確認しておらずH2としない。

Sの評価基準
深い私的情報・本人確認書類画像・有効な認証情報の侵害、それと同等の管理機能・アカウント支配、大規模な連絡先流出、又は主要な提供機能の停止。