概要：ランサムウェア攻撃の発生
ハワイ大学（UH）は、2025年8月に同大学のがんセンターがランサムウェア攻撃の被害を受け、研究参加者のデータが盗まれたことを発表しました。この流出には、特に1990年代の文書に含まれる社会保障番号などの個人情報が含まれていました。
攻撃の詳細と大学の対応
ハワイ大学が州議会に提出した報告書によると、この事件はUHがんセンターの単一の研究プロジェクトに影響を及ぼし、臨床業務や患者ケアには影響がなかったとされています。しかし、侵害されたシステムが暗号化されたことによる広範な被害が、復旧作業や攻撃による影響の調査を遅らせました。
発見後すぐに、影響を受けたシステムは切断され、専門家による包括的な調査が開始されました。UHの広報担当者は、情報が影響を受けた可能性のある個人を保護するため、脅威アクターとの交渉という困難な決断を下したと述べています。その結果、身代金を支払い、復号ツールを入手し、盗まれた情報の確実な削除を要求しました。
初期の調査では、影響を受けたファイルのほとんどは特定の癌研究に関連しており、個人識別情報を含まない研究データのみであるとされていました。しかし、その後の分析で、大学が異なる識別方法を採用する以前の1990年代のファイルから、研究参加者を特定するために使用されていた社会保障番号が見つかりました。
セキュリティ強化と今後の課題
ハワイ大学は、今回の攻撃を受けて、システムをさらなる侵害から保護するための措置を講じました。これには、エンドポイント保護ソフトウェアの導入、侵害されたシステムの交換、パスワードのリセット、ファイアウォールソフトウェアの交換、そしてがんセンターの第三者セキュリティ監査の実施が含まれます。
現時点では、データが盗まれた研究参加者への通知はまだ行われていませんが、UHは「連絡先が判明次第」通知を行うとBleepingComputerに伝えています。
高まる教育機関へのサイバー攻撃リスク
近年、教育機関を標的としたサイバー攻撃が相次いでいます。ハワイでは、今年6月にハワイアン航空もサイバー攻撃を受けたことを公表しています。また、米国ではプリンストン大学、ハーバード大学、ペンシルベニア大学など、複数の大学が音声フィッシング攻撃の被害に遭い、寄付者や職員、学生のデータが盗まれました。
さらに、Clopランサムウェアグループは、Oracle E-Business Suiteのゼロデイ脆弱性を悪用し、ハーバード大学とペンシルベニア大学を再び攻撃し、学生、職員、サプライヤーの機密性の高い個人情報や財務データを盗み出す事件も発生しています。昨年12月には、ベイカー大学もネットワーク侵害により53,000人以上の個人情報、健康情報、財務情報が流出したことを明らかにしています。これらの事例は、教育機関におけるサイバーセキュリティ対策の喫緊の必要性を浮き彫りにしています。