八王子学園のランサムウェア被害｜リモートデスクトップでサーバーにログインされた経緯と、学校・中小企業が確認すべきこと

学校法人八王子学園は2026年9月30日、八王子中学校・高等学校で起きたサイバー攻撃について第2報を公表しました。外部の調査会社によるフォレンジック調査（コンピューターに残った記録から攻撃の経緯を調べること）は8月末に完了しています。

この記事では、同学園の公表内容をもとに経緯を整理し、学校や同じ規模の会社が自社で確認しておきたいことをまとめます。特定の組織の対応を評価する記事ではありません。

公表された経緯

• 2026年4月26日：不正アクセスが行われたが、侵入は失敗
• 2026年7月8日：攻撃者がサーバーへの侵入に成功
• 2026年7月10日未明：ランサムウェアが実行され、サーバーとパソコンのファイルが暗号化
• 同日早朝：攻撃者がシステムからログアウト
• 2026年7月13日：第1報を公表
• 2026年9月30日：第2報を公表

侵入経路

第2報によれば、攻撃者は不正な手段でファイアウォールを突破し、サーバーにリモートデスクトップで接続して内部に侵入しました。

被害の内容

• サーバーに保存されていた全ファイルと、一部の教職員端末のファイルが暗号化
• 在校生、卒業生とその保護者、受験生とその保護者、教職員、退職者の個人情報を含むファイルが対象
• 生徒が「情報」の授業で作成したファイルも暗号化
• 暗号化されたファイルを元に戻す見込みは立っておらず、技術的にも極めて困難

個人情報を含むファイルの外部への流出や、圧縮・クラウドへのアップロードといった持ち出しの形跡は確認されていません。ただし、攻撃者により一部のログが消去されているため、流出を完全に否定することはできないとしています。

「侵入」の実体は、サーバーへのログイン

リモートデスクトップは、離れた場所から画面を通じてサーバーやPCを操作する仕組みです。接続するときには、そのサーバーのWindowsにログインします。つまり今回の侵入は、攻撃者がサーバーのWindowsにログインできたということです。

どのようにログインに必要な情報を得たのかは公表されていません。ただ、サーバーへのログインがIDとパスワードだけで通る状態なら、パスワードが推測・窃取・使い回しのどれで漏れても、それだけでサーバーに入られます。

リモートデスクトップを「遮断する」だけで終わらせない

同学園は再発防止策として、侵入経路と考えられるリモートデスクトップ接続を今後遮断するとしています。外から直接つながる入口を閉じることは基本の対策です。

ただし、保守や在宅勤務のために、リモートデスクトップやVPNを残さざるを得ない組織も多くあります。また、入口は今回と違う場所から破られることもあります。入口を絞ることに加えて、サーバー・PCのWindowsログインそのものに2つ目の要素を加えておけば、パスワードが知られても、それだけではログインできません。

自社で今日確認できること

• インターネットからリモートデスクトップで直接つながるサーバー・PCがないか（リモートデスクトップの多要素認証）
• リモートデスクトップで接続できるユーザーを必要な人だけに絞っているか（接続できるユーザーを制限する手順）
• 誰がいつリモートデスクトップで接続したかを確認できるか（リモートデスクトップの接続履歴の確認）
• ログが消されても、別の場所に記録が残るか（Windowsイベントログの保存期間）
• サーバー・PCのログインがパスワードだけで通る状態になっていないか（Windows OSログインの2要素認証）

他の事例：侵入経路と、入られた後の広がり方

公表資料をもとに整理した他の事例です。入口はそれぞれ違っても、入られた後にPC・サーバーへのログインで広がる点は共通しています。

• サカタのタネ — リモートアクセス用の公開サーバーを起点に、管理者権限を取得された可能性
• アサヒ — ネットワーク機器から侵入、管理者権限を奪われ約10日間サーバーへのログインが繰り返された
• アスクル — 多要素認証のない委託先の管理者アカウントから侵入、サーバーの認証情報を集めて移動
• 大阪急性期・総合医療センター — 給食委託先のVPNから侵入、全サーバー共通のWindowsパスワードで横展開
• 岡山県精神科医療センター — 保守用SSL-VPNから侵入、全コンピューター同一の管理者パスワードで水平展開
• オーミケンシ — 盗まれた認証情報でVPNから侵入、サーバーとファイルサーバーが暗号化
• 両毛システムズ — VPNアカウントの悪用で侵入、委託元の情報にも影響
• フェース — VPN機器から夜間に侵入、社内のサーバーとPCが操作された
• 第一興商（委託先） — 委託先のPC1台の感染で872万件が漏えいのおそれ

出典

• 学校法人八王子学園 八王子中学校・高等学校「サイバー攻撃に関するお知らせ（第2報）」（2026年9月30日）
• 同「サイバー攻撃に関するお知らせ（第1報）」（2026年7月13日）

記事中の事実関係は、上記の公表資料（2026年10月16日時点で確認）に基づきます。

いまの運用を棚卸ししてみる

リモートデスクトップで入れるサーバー・PCのログインがどう守られているか。applippliの無料棚卸しでは、10問・約3分で、PCログインまわりで何が手当て済みで、何がパスワードだけのまま残っているかを一覧にできます。