対象：佐賀大学の在学生・教職員・元学生・元教職員・関係者と、佐賀大学医学部附属病院の患者とその家族。本記事は佐賀大学の公式発表にもとづく解説で、攻撃手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
佐賀大学の在学生・教職員・元学生・元教職員・関係者と、佐賀大学医学部附属病院の患者とその家族。
- 影響が確認された範囲表で見る ↓
- ランサムウェア被害
- 事務用端末の復旧
可能性があるとされた項目
- 氏名・生年月日・性別・住所・電話番号・メールアドレス
- パスワード
- 患者情報（診療科、傷病名、受診日等）
さらに2件
- 学生・教職員等の件数
- 情報の持ち出し
- 未確認事項
- 患者情報の件数と、対象となる患者の範囲（大学が調査中）
- 侵入経路と原因（外部の専門事業者が調査。発表に説明はない）
- パスワードの保管形式（暗号化・ハッシュ化の有無は書かれていない）
さらに2件
- 個別の連絡の有無と時期
- 情報が実際に外部へ持ち出されたかどうか（「可能性が否定できない」の段階）
- 今やること手順を見る ↓
- 自分が当てはまるかを考える
- 大学や病院を名乗る連絡は、リンクと番号を使わずに確かめる
- 大学のパスワードと、同じパスワードを使ったサービスを変える
さらに3件
- 患者・家族は、病院を名乗る連絡を特に疑う
- 卒業・退職した人は、古いアカウントと昔のパスワードも見直す
- 問い合わせは、発表に載っている窓口を使う
- 最終確認日時
- 2026年11月2日時点
発表の続報予定と確認の記録
大学は10月30日の発表で、引き続き調査を行い、情報セキュリティ対策の一層の強化に努めて再発防止を図るとしています。11月2日に大学の発表ページと附属病院のサイトを確認し、10月30日より新しい発表は見当たりませんでした。
対象かもしれない人が今日やること
自分が当てはまるかを考える
大学の発表によれば、対象は学生、教職員、元学生、元教職員、関係者等の約80,000人分です。患者情報は別に挙げられ、件数は調査中です。発表には、個別に連絡するかどうかや、対象かどうかを確かめる方法は書かれていません（11月2日時点）。
在学中や在職中の人だけでなく、卒業や退職をした人、関係者として情報を預けた人も含まれます。数年前に離れた人も、連絡を待たずに以下を進めてください。
大学や病院を名乗る連絡は、リンクと番号を使わずに確かめる
大学は、本件に関連して、大学や関係機関を装った不審なメール、SMS、電話等が届く可能性があるとしています。身に覚えのない連絡に書かれたURLや添付ファイルは開かず、不審なWebサイトに個人情報やパスワードを入力しないよう呼びかけています。
氏名、住所、生年月日、電話番号が正しい連絡でも、本物とは限りません。確かめるときは、連絡の中のリンクや電話番号ではなく、自分で開いた大学の公式サイト（saga-u.ac.jp）や、発表に載っている窓口を使います（見分け方は フィッシングとは）。
大学のパスワードと、同じパスワードを使ったサービスを変える
対象の項目に「パスワード」が入っています。発表には、暗号化やハッシュ化がされていたかどうかは書かれていません。そのため、当サイトは「読み取られても安全」とは言えないと考えます（当サイトの判断）。
大学のアカウントのパスワードは、大学の案内に従い、自分で開いた正規の画面で変えます。メールやSMSのリンクからは変えません。同じ、または似たパスワードを他のサービスでも使っているなら、そちらを先に別のパスワードへ変えてください。確認の方法は パスワードが漏れていないか確認する方法、使い分けの道具は パスワードマネージャーの選び方、設定できるサービスでは 多要素認証 を足します。
患者・家族は、病院を名乗る連絡を特に疑う
患者情報は、診療科、傷病名、受診日などの要配慮個人情報です。これが使われると、「検査結果の確認」「医療費の未払い」「保険の手続き」「再診の予約」などを装った、本物らしい連絡が作れます。
附属病院のサイトの案内（10月30日追記）は、患者とその家族に謝罪し、現時点で二次被害は確認されていないとして、不審な連絡などに注意するよう呼びかけています。電話、SMS、メールで診療内容や支払いを求められたら、連絡先に書かれた番号ではなく、病院の公式サイトや診察券、請求書に載っている窓口にかけ直します。
卒業・退職した人は、古いアカウントと昔のパスワードも見直す
元学生や元教職員は、大学からのお知らせを日常的に見ないため、偽の連絡に気づきにくい立場です。今は使っていない大学のメールアドレスや、学生時代のIDに結びついたサービスがないかを確かめます。
大学のパスワードと似た文字列を、いまも他のサービスで使っていないかを思い出し、あれば変えてください。
問い合わせは、発表に載っている窓口を使う
大学の問い合わせ先は、広報室（電話 0952-28-8153）です。附属病院のサイトには、専用の問い合わせフォーム（佐賀大学メディカル広報室）が案内されています。病院は、事実関係を調べて回答するとし、調査には時間がかかる場合があるとしています。窓口の入口は、自分で開いた大学や病院の公式サイトから探してください。
① 大学・病院を名乗る電話／メール／SMS（氏名・住所・受診日が正しくても、ここでは判断しない）
↓
② リンク・番号は使わず、自分で開いた公式サイトや発表の窓口で確かめる
↓
③-A 公式側に載っていない／パスワードや診療内容を求める → 応じない
③-B 公式側にも同じ案内がある → 公式の案内に沿って手続きする
何が起きたのか（佐賀大学の発表より）
以下は、大学の10月30日と9月28日の発表、および附属病院のサイトの案内（11月2日に確認）にもとづきます。
2026年9月24日 8時42分
事務部門が利用するNAS（ネットワーク接続型ストレージ）で、ランサムウェアによると思われる被害を確認。CSIRT（情報セキュリティの対応チーム）を中心に初動対応を始めたその後の初動として（時刻は書かれていない）
文部科学省等へ報告し、警察に相談した9月24日 16時45分
被害の拡大を防ぐため、事務用端末の利用を停止（9月28日の発表）9月27日 11時3分
関係部署・関係事業者と復旧作業を進め、事務用端末の利用を再開9月28日
通常業務を再開。同日の発表では、教育・研究・診療業務に関係するシステムへの影響は確認されていないとしていた9月27日の再開後
外部の専門事業者に調査を依頼し、侵入経路と影響範囲の詳細な調査を進めた（時期は発表に書かれていない）10月30日
個人情報（患者情報を含む）が外部へ流出した可能性が否定できないことを確認したと公表。附属病院のサイトにも、題名に「10/30追記」とある案内が載った
- 起きたこと
- 9月24日午前8時42分、事務部門が使うNASで、ランサムウェアによると思われる被害を確認
- 10月30日に分かったこと
- 大学が保有する個人情報（患者情報を含む）が外部へ流出した可能性が否定できないことを確認
- 対象の件数
- 学生、教職員、元学生、元教職員、関係者等 約80,000人分。患者情報は調査中
- 対象の情報
- （学生・教職員・関係者等）氏名、生年月日、性別、住所、電話番号、メールアドレス、パスワード。（患者情報）要配慮個人情報（診療科、傷病名、受診日等）
- 大学の対応
- CSIRTを中心とした初動対応、文部科学省等への報告、警察への相談、関係部署・関係事業者と連携した復旧、外部の専門事業者による調査
- 大学の呼びかけ
- 本件に関連して、大学や関係機関を装った不審なメール、SMS、電話等が届く可能性がある。身に覚えのない連絡のURLや添付ファイルを開かず、不審なWebサイトに個人情報やパスワードを入力しない
- 附属病院のサイト
- 10月30日追記の案内で、患者とその家族に謝罪し、現時点で二次被害は確認されていないとして、不審な連絡などに注意を呼びかけている。専用の問い合わせフォームがある
分かっていること・分かっていないこと
2026年11月2日時点の状態です。続報が出たら、この表を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| ランサムウェア被害 | 9月24日8時42分に、事務部門が使うNASで被害を確認 | 確定（大学） |
| 事務用端末の復旧 | 9月27日11時3分に利用を再開。9月28日から通常業務 | 確定（大学） |
| 氏名・生年月日・性別・住所・電話番号・メールアドレス | 外部へ流出した可能性が否定できない。件数欄は「学生、教職員、元学生、元教職員、関係者等」、項目欄の括弧は「学生、教職員、関係者等」と書かれている | 可能性（大学） |
| パスワード | 対象の項目に入っている。暗号化・ハッシュ化の有無は書かれていない | 可能性（大学） |
| パスワードの保管形式 | 書かれていない | 記載なし |
| 患者情報（診療科、傷病名、受診日等） | 要配慮個人情報が流出した可能性が否定できない。件数は調査中 | 可能性（大学） |
| 患者情報の件数 | 調査中 | 調査中 |
| 学生・教職員等の件数 | 約80,000人分 | 可能性（大学） |
| 侵入経路・原因 | 外部の専門事業者に調査を依頼。説明は書かれていない | 調査中 |
| 情報の持ち出し | 「流出した可能性が否定できない」と書かれ、持ち出しが確認されたとは書かれていない | 可能性（大学） |
| 不正使用・二次被害 | 大学の発表には書かれていない。附属病院のサイトは、現時点で二次被害は確認されていないとしている | 記載なし（大学） |
| 対象者への個別連絡 | 書かれていない | 記載なし |
| 規制当局 | 文部科学省等への報告と警察への相談を大学が説明。個人情報保護委員会への報告は発表に書かれていない。当局側の発表は当サイトでは見当たらない | 記載なし |
読み方の注意：「流出した可能性が否定できない」と「約80,000人分」
大学は、個人情報が外部へ流出した「可能性が否定できない」ことを確認したと書いています。持ち出された、または悪用されたとまでは書いていません。当サイトは大学の言葉をそのまま使っています。
約80,000人分は、学生・教職員・元学生・元教職員・関係者等の数です。患者情報は別の行で「調査中」とされており、約80,000人分に含まれるかどうかは書かれていません。ただし、対象かどうかが分からない段階でも、上の手順は今日から始めて損がないものです。
氏名・住所・パスワード・患者情報で何が起きうるか
以下は、この項目の組み合わせから一般に起きうることで、本件で起きたと大学が公表しているものではありません。
- 氏名＋住所＋電話番号＋メールアドレス：大学や公的機関を名乗る、本物らしい電話・メール・SMSの宛先になる
- 生年月日＋性別：本人確認を装う連絡や、別のサービスでの本人確認の手がかりになりうる
- パスワード：同じ、または似たパスワードを使ったほかのサービスへのログイン試行に使われうる。保管形式が書かれていないので、大学のパスワード自体も変える
- 診療科＋傷病名＋受診日：病院、医療費、保険、検査結果を装った連絡の材料になる。診断名のように人に知られたくない内容は、連絡の相手が本物かどうかに関わらず、電話口やリンク先で話さない
運営者が見直すこと
侵入経路は公表されていないため、公表された経緯から言えることだけを挙げます。
- 初報（9月25日）から約5週間後に範囲が広がった：9月28日の発表は、教育・研究・診療のシステムへの影響を確認していないとしていました。10月30日に、個人情報（患者情報を含む）が流出した可能性が否定できないという段階に進みました。暗号化の被害を受けたストレージに何が置かれていたかは、初動の時点で洗い出しておくと、続報の速さが変わります
- 事務部門の共有ストレージの棚卸し：個人情報、特に要配慮個人情報が、事務用のファイルサーバーやNASに置かれていないかを確かめます。どのシステムの情報かの区別が付きにくい場所ほど、影響範囲の特定に時間がかかります
- 元利用者のデータの保存期間：今回の対象には、元学生と元教職員が含まれます。卒業・退職後の個人情報をいつまで、どこに持つかを決めます
- パスワードの保管：パスワードを持つなら、保管形式を含めて、漏えい時に「何が起きうるか」を説明できるようにします。元の文字列に戻せない形での保管が基本です
ランサムウェアの仕組みと備えは ランサムウェアとは、病院が止まった事例は 2026年にサイバー攻撃で診療が止まった病院 で解説しています。
出典（公開記録）
本記事の事実関係は以下の公開情報にもとづきます。公表されていない侵入の経路や手法は推測しません。
- 国立大学法人佐賀大学「事務情報システムにおけるランサムウェア被害の発生について」（2026年10月30日、11月2日に確認） — saga-u.ac.jp（同じ発表の一覧ページ：saga-u.ac.jp）
- 国立大学法人佐賀大学 第1報（2026年9月25日公表、当サイトの記録による） — saga-u.ac.jp
- 国立大学法人佐賀大学「事務情報システムにおけるランサムウェア被害の発生について」（2026年9月28日、11月2日に確認） — saga-u.ac.jp
- 佐賀大学医学部附属病院「【お詫び】事務情報システムにおけるランサムウェア被害の発生について（10/30追記）」（11月2日に確認） — hospital.med.saga-u.ac.jp
更新履歴
2026-11-02：初版。大学の10月30日の発表（個人情報・患者情報が流出した可能性が否定できないこと、約80,000人分）と、9月28日の発表、附属病院のサイトの案内にもとづく（11月2日に確認、10月30日より新しい発表は見当たらず）。
次に読む
- 偽の連絡への備え：フィッシングとは ／ パスワードマネージャーの選び方
- ランサムウェアとバックアップ：ランサムウェアとは ／ バックアップの基本（3-2-1ルール）
- 同じ型の国内事案：大阪公立大学のランサムウェア被害 ／ サイバー攻撃で診療が止まった病院
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）