もう1つだけ。この記事では被害の大きさを「人・件」という単位で書きます。公表資料によって「〇〇人分」と書いてあったり「〇〇件」と書いてあったりして統一されていないためです。厳密な人数ではなく、だいたいの規模を表す数だと思ってください。

この1年で最も大きかった大学の情報漏えいは、慶應義塾大学の222,508件でした。迷惑メール対策の機器に未知の弱点を突かれ、そこから内部のサーバまで侵入されたものです。2位は法政大学の90,000件で、こちらは大学自身ではなく委託先が攻撃を受けたことによる被害でした。

ここで1つ、ことわっておきたいことがあります。この記事の数字は、他の集計と食い違うかもしれません。理由は単純で、機械的な集計だと大学の事故が数え落とされるからです。

漏えいデータには、組織名を文部科学省の学校リストと照合して「学校」に分類する仕組みがあります。ところが報道では「慶応大」「大教大」「北大」のように略称で書かれるため、正式名称のリストと一致しません。一致しなかった大学は「民間企業」に分類され、「大学の事故」の集計から抜け落ちます。最大の222,508件も、まさにこれで漏れていました。

そこで1件ずつ手で確認したところ、大学の事故は22件ではなく33件ありました。この記事はその33件で集計しています。

正しく数え直した33件を、原因ごとに並べてみます。ここで奇妙なことが起きます。

大きくまとめると、こうなります。

ちなみに、うっかりミス19件のうち12件（63.2%）はメールが原因でした。宛先を間違える、全員のアドレスが見える形で一斉送信してしまう、といったものです。大学は入試・公開講座・イベント・付属校の連絡など、学生以外にも大量のメールを送る機会が多いのが背景にあると考えられます。

被害の大きさを、大きい順に並べてみます。すると、とんでもない偏りが見えます。

上位3件だけで95.9%。残り30件を全部足しても4.1%にしかなりません。

もう1つ、想像してみてほしいことがあります。1位の222,508件は、日本の大学生全体（297万人）の13人に1人分にあたる数です。1つの大学の事故なのに、です。

これは何を意味するでしょうか。日本でいちばん学生数の多い大学でも在学生は数万人規模です。22万件は、どう考えても在学生だけでは足りません。つまりそこには、卒業生・受験生・公開講座の受講者・保護者・元教職員といった、もう大学にいない人たちの情報が大量に含まれていたと考えられます。

学校の設置者（国立・公立・私立）ごとに分けると、はっきり性格が分かれました。学生数がまったく違うので、学生1万人あたりに直して比べます。

読み取れることは2つです。

33件の事故を起こしたのは29校です。つまり、複数回起こしている大学があります。

山口大学の3件はとくに示唆的です。知財センター、入試担当、付属小学校——部門はバラバラなのに、全部メール送信ミスです。

これを「別々の部署で起きた、たまたま似た3件」として処理すると、たぶん何も変わりません。そうではなく、複数の部門が同じやり方でメールを送っている＝大学全体の仕組みの問題として扱う必要があります。誰か1人の不注意ではなく、不注意が事故になってしまう仕組みのほうが原因だからです。

3つを合わせると、大学のセキュリティで本当に管理すべきものが見えてきます。それは事故の件数ではなく、「1人の職員、または1社の委託先が、何人分の情報に手を伸ばせるか」です。

今回の数字がはっきり示したのは、「事故をゼロにする」より「1件起きたときに全学生・卒業生・受験生のデータまで届かない形にする」ほうが効く、ということです。

まず最初にやる3つ

委託先については、この4つを確認する

今回2位の90,000件は、大学自身ではなく委託先が攻撃されたことによる被害でした。委託先は「外の会社」ですが、被害を受けるのは大学です。

先生・職員のみなさんへ

今回、うっかりミス19件のうち12件がメールでした。そして山口大学の3件はすべて違う部署で、同じ失敗をしています。これは注意力の問題ではなく、やり方の問題です。

学生のみなさんへ

「自分は関係ない」と思うかもしれませんが、今回の分析でわかったことが1つあります。大学に預けた情報は、卒業してからも残り続けます。最大の事故で漏れた22万件は、在学生だけでは説明がつかない数でした。

大学の漏えいでいちばん多いのはメールアドレスの流出です。すぐに大きな被害が出るわけではありませんが、そのアドレスを狙った偽メールが届きやすくなります。お知らせが来たら、しばらく警戒しておくのが実際的です。

この記事の数字は公表された事故だけを集めたものです。次の限界があります。