ヒューストン・シティ・カレッジ(Houston City College)は、恐喝グループ「ShinyHunters」の攻撃者が在校生および卒業生に関する機密記録を公開したことを受け、大規模な情報漏えいが発生したことを認めました。
2026年6月に発生したこのインシデントでは、83万2000件のユニークなメールアドレスに紐づく個人情報および学業情報が流出しており、今年公表されたEdTech(教育テクノロジー)分野の情報漏えいの中でも大規模な部類に入ります。
今回の漏えいは、大規模なデータ窃取活動で知られる脅威グループShinyHuntersによる「支払わなければ公開する(pay or leak)」型の恐喝キャンペーンに起因するものです。同グループは教育機関や企業を標的にしていることで知られています。
同グループはヒューストン・シティ・カレッジのシステムからデータを窃取したとされており、同校が身代金の要求に応じなかったとされる後、そのデータを公開したとみられています。
流出したデータセットは2026年7月28日にHave I Been Pwned(HIBP)に追加され、影響を受けたアドレスが83万1600件であることが確認されました。侵害自体は2026年6月に発生したとみられていますが、具体的な侵入経路は公表されていません。
流出したデータセットには、個人を特定できる情報と学業記録が混在しています。具体的には、氏名と生年月日、メールアドレスと電話番号、住所、性別と市民権(国籍)ステータス、そして学業記録が含まれます。
市民権ステータスや学業履歴が、通常の連絡先情報とともに流出している点は、標的型フィッシングや個人情報窃盗、学業詐欺といったリスクを高める懸念材料となります。
EdTech機関は、学生や卒業生に関する機密データを大量に保有している一方、企業環境と比べてサイバーセキュリティ基盤への投資が歴史的に不足していることから、恐喝グループにとって格好の標的になりつつあります。
今回の漏えいは、2026年を通じて教育分野の情報漏えいが急増しているとする最近の業界レポートが指摘する、より広範な傾向に合致するものです。
ShinyHuntersはこれまでにも、クラウドストレージの設定不備、認証情報の窃取、サードパーティベンダーの侵害に関連する情報漏えいへの関与が指摘されてきました。これらの手口は、脆弱なアクセス制御を突いて大量データを窃取した上で恐喝を行うという、同グループの既知の常套手段と一致しています。
今回の漏えいの対象者と確認された方は、いくつかの予防策を講じる必要があります。学業情報に言及したフィッシング攻撃がないか、メールアカウントや金融口座を監視すること、関連するすべてのアカウントで多要素認証(MFA)を有効にすること、そして特に複数のサービスでパスワードを使い回していた場合は、パスワードマネージャーを使って強固で一意なパスワードを生成することが求められます。
また、特に市民権ステータスや生年月日が流出していることを踏まえ、個人情報窃盗の兆候にも注意を払うとともに、関連するメールアドレスを使ってHave I Been Pwnedで自身の漏えい状況を確認することも重要です。
ヒューストン・シティ・カレッジは、今回の漏えいの規模や実施した是正措置について、詳細な公式声明をまだ発表していません。
調査が続く中、影響を受けた在校生・卒業生の皆さんは、流出した学業情報や個人情報を悪用したソーシャルエンジニアリング攻撃が今後発生する可能性に、引き続き警戒するよう呼びかけられています。
SOC調査の死角をなくし、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への影響を削減しましょう。
翻訳元: https://cyberpress.org/houston-city-college-breach/
