早稲田大学MyWasedaのユーザー情報管理システムに侵入、延べ3,342件の内訳と対応

早稲田大学は2026年11月9日、ポータルサイト「MyWaseda」へのログインに使うユーザー情報を管理するシステムに第三者が侵入し、情報が取得されたと発表しました。

この記事では、学生・教職員・卒業生の方に向けて、何が起きたか、取得された情報の内訳、大学の対応と自分で行うことを順に説明します。

MyWasedaのユーザー情報を管理するシステムへの侵入

MyWasedaは早稲田大学のポータルサイトで、ログインにはWaseda IDを使います。大学は、PHPの脆弱性への対応をきっかけにシステムの状況を確認する中で、2026年8月31日に行われた不正アクセスの痕跡を見つけました。調査範囲を広げた結果、ログイン用のユーザー情報を管理するシステムへの侵入と、情報の取得を確認しました。

PHPは、Webサイトを動かすためのプログラム言語です。大学は10月22日に、PHPの脆弱性への対応としてMyWasedaなど一部のサービスへのアクセスを制限していました。侵入の経路は調査中で、11月9日時点で公表されていません。

取得された延べ3,342件の情報の内訳

取得が確認された情報は延べ3,342件です。内訳は、教職員（退職者を含む）・学生・卒業生等の個別の情報81件と、職員等のユーザー情報3,261件です。大学は、同じ人が複数のメールアドレスを持つことがあるため、件数は実人数と一致しないとしています。

パスワードは、利用者が設定した文字列そのままではなく、暗号化された状態で保存されていました。そのうえで大学は、学生と教職員にWasedaメールアドレスのパスワード変更などを個別に案内しています。

これ以外の情報の取得は確認されていませんが、大学は可能性を否定できないとして調査を続けています。入試志願者とオープンカレッジ受講生の情報への影響は、11月9日時点で確認されていません。

氏名とメールアドレスの組み合わせを知った第三者は、大学を名乗るメールで偽のログイン画面へ誘い、IDやパスワードを入力させようとすることがあります。

大学の対応と学生・教職員・卒業生の問い合わせ先

大学は、関係するシステムの停止、学外との通信・アクセスの制限、システム管理者のパスワード変更、関連サービスの利用制限を行いました。セキュリティ専門事業者と連携して侵入経路と影響範囲を調べ、関係機関へ報告・相談しています。

卒業生については、安全性を確認できるまで、MyWasedaをはじめWaseda IDを使うサービス（Wasedaメール、証明書発行など）を一時停止しています。再開時期は改めて知らせるとしています。

学生と教職員は、個別に届いている案内に沿ってWasedaメールアドレスのパスワードを変更してください。大学は、大学や関係者を装ったメールやSMSのリンクを開かず、添付ファイルを開かず、ID・パスワードを入力しないよう呼びかけています。問い合わせはITヘルプデスクのお問い合わせフォームか電話（0120-200-042、平日9時〜17時）で受け付けています。

ログイン情報を管理する組織が確かめたい点

PHPなど基盤のソフトウェアの脆弱性に対応するときは、修正と合わせて、過去のアクセス記録にさかのぼって侵入の痕跡を調べているかを確認することが重要です。早稲田大学では、脆弱性への対応をきっかけに8月31日の不正アクセスが見つかりました。

ログイン用のユーザー情報を管理するシステムを外部から直接届かない場所に置いているか、パスワードを元の値に戻せない方式（ソルト付きハッシュなど）で保存しているかも点検項目です。

侵害が分かった後すぐに利用者へパスワード変更と多要素認証を案内できる手順や、卒業生・退職者など利用の少ないアカウントのサービスを一時停止できる仕組みがあるかも確認してください。

公式の案内：早稲田大学の公式発表｜ITヘルプデスクに電話する

国内で公表された他のサイバー攻撃・不正アクセスの事例は、国内のサイバー攻撃・情報漏洩事例一覧で業種・原因・公表月から探せます。

出典・参考資料

早稲田大学の2026年11月9日付の発表と、10月22日付のアクセス制限の告知に基づいています。件数は11月9日発表時点の情報です。

• 早稲田大学｜不正アクセスによる個人情報漏えいについて（2026-11-09・事件の事実・取得された情報・対応と問い合わせ先の根拠）
• 早稲田大学｜PHPの脆弱性対応に伴う一部サービスへのアクセス制限について（2026-10-22・発見の経緯（10月22日のアクセス制限）の根拠）

更新履歴

• 2026年11月9日 新規作成