特許管理システムの情報漏えい、そのとき何をする? 埼玉大学の事例から考える対処法

先日、PHPの重大な脆弱性(PHP2shell)の影響とみられる弁理士ナビの停止について書きました。それをきっかけに、知財の業務で使うシステムのセキュリティについて調べてみました。大学の特許管理システムで不正アクセスの事象があったことが分かりました。

埼玉大学が2026年3月に公表した、委託先の特許管理システムへの不正アクセスの件です。大学の発表には、発覚してから調査・報告・通知・公表までの流れが具体的に書かれており、万一、情報の漏えいが起きたときの対処法として、出願人(大学・企業)にも特許事務所にも参考になる点が多いと感じました。

この記事は、どこかの責任を問うためのものではありません。公表されている事実をもとに、「そのとき何をするか」を考える材料として紹介したいと思います。

どんな事象だったか

埼玉大学は、特許管理の業務に、委託先(株式会社ネットワークス)が提供する特許管理システム「KEMPOS」を使っていました。KEMPOSは1984年に販売が始まった歴史の長い特許管理システムです。KEMPOSは特許事務所版と企業版があります。

大学の発表によると、経緯は次のとおりです。

• 2025年2月上旬:委託先が管理するサーバーのセットアップ直後から、不正アクセスが可能な状態だった(後の調査で判明)
• 2025年3月:ランサムウェア感染の痕跡
• 2025年10月8日:委託先がサーバーを点検する中で、マイニングマルウェア(他人のサーバーで暗号資産の採掘をさせる不正プログラム)の稼働を確認し、不正アクセスの可能性が判明
• 2025年10月下旬〜11月下旬:外部の専門機関によるフォレンジック調査
• 2026年3月30日:大学が公表

どの部分の脆弱性が使われたのかは、公表されていません。

影響の可能性がある情報

• 発明者(学生・学外の人を含む)の氏名、所属機関名、所属機関の住所など
• 代理人弁理士の氏名
• 特許関連情報(J-PlatPatで公開済みの情報も含む)

対象は1,516名で、内訳は教職員229名、学生227名、学外の共同発明者582名、代理人弁理士478名です。出願前・公開前の発明の内容が含まれていたかどうかは、公表されていません。

外部専門機関の調査では、情報が盗まれたことを示す直接の証拠はないものの、その可能性は完全には否定できないとされています。委託先が行った別の調査では、情報の流出は確認されていません。公表の時点で、情報の流出や金銭の要求などの二次被害は確認されていないとのことです。

大学はどう対応したか

発表に書かれている対応を、手順として並べると次のようになります。

1. 止める:委託先がシステムをすぐに停止し、保存データを別のサーバーへ移した
2. 調べる:外部の専門機関にフォレンジック調査を依頼した(委託先も別に調査)
3. 報告する:文部科学省と個人情報保護委員会に報告し、埼玉県警に報告・相談した
4. 環境を作り直す:学内サーバーへ移設し、外部からのアクセスを遮断した
5. 知らせる:対象の人に順次個別に通知し、連絡先が分からない人には公表で通知に代えた。問い合わせ窓口も設けた

一方、公表は発覚から約5か月半後でした。大学は「誤った情報や不十分な説明で混乱を招くことを避けるため、調査で事実関係を確認し、正確な情報を整理したうえで公表することを優先した」と説明し、時間がかかったことを謝罪しています。

ここから学べること

出願人(大学・企業)の立場から

• サーバーを誰が管理しているかを把握する:今回は委託先が管理するサーバーで、セットアップ直後から約8か月、問題に気づかれませんでした。委託している場合も、外部から接続できる設定になっていないか、更新や点検がどのくらいの頻度で行われているかを確認する必要がありそうです。
• 契約で事故時の連絡を決めておく:委託先で事故が起きたとき、いつ・誰に・何を連絡するかを契約や覚書で決めておくと、初動が速くなります。
• 関係者の一覧をすぐ出せるようにしておく:発明者には学生や学外の共同研究者も含まれます。通知先の連絡先を整理しておくことが、個別通知の速さにつながります。

特許事務所の立場から

• 報告先を確認しておく:個人情報の漏えい(またはそのおそれ)があった場合、一定の条件にあたると個人情報保護委員会への報告と本人への通知が必要です。不正アクセスの場合は、警察への相談も選択肢になります。依頼人への連絡も欠かせません。
• 報告の期限の目安を知っておく:個人情報保護委員会の案内では、報告は2段階で、発覚から3〜5日以内に「速報」、原則30日以内(不正アクセスなど不正の目的のおそれがある場合は60日以内)に「確報」を出すこととされています。起算点など細かい点は事案ごとに確認が必要です。
• 「正確さ」と「速さ」のバランス:埼玉大学は正確さを優先しました。ただ、関係者が自分で身を守る対策をとれるように、分かっている範囲で早めに第一報を出し、調査の結果を続報で補うという考え方もあります。どちらを取るにしても、あらかじめ方針を決めておくと迷わずに済みます。
• 通知を受け取る側になったとき:今回のように代理人として通知を受けた場合は、自分の事務所のどの案件・どの依頼人が関わるかを確認し、依頼人へ伝えるかどうかを判断することになります。

事務所向けの特許管理システムとの違い(参考)

KEMPOSには特許事務所版もありますが、今回の事例は出願人である大学が、委託先の管理するサーバーで使っていたケースです。特許事務所向けの代表的なシステムの一つであるPATDATA(日本パテントデータサービス)と、運用の形を比べてみます。

どちらが安全ということではありません。委託型は自分でサーバーを運用しなくてよい反面、管理の状態が見えにくくなります。事務所のサーバに入れる形(オンプレミス)は、外部に公開しなければ攻撃を受ける入口は小さくなりますが、OSや関連ソフトの更新、バックアップ、ランサムウェア対策は事務所自身の責任になります。

PATDATAには、ユーザーごとに編集権限を設定する機能や、誰がいつ何を変更したかの履歴を自動で保存する機能があります。こうした機能も、万一のときに「何が起きたか」を調べる手がかりになります。

PHP2shellと重ねて考える

埼玉大学の事例とPHP2shellを直接結びつける公表はありません。ただ、当サイトとしては、大学が再発防止として選んだ「外部からのアクセスの遮断」は、PHP2shellのようなインターネット経由の攻撃全般に効く考え方だと感じました。インターネットから直接届かないシステムは、ルーターを突破する必要があり、攻撃を受けにくくなります。

期限管理や案件管理のシステムを外から使えるようにしている場合は、VPNなどを通した接続に限っているかを、この機会に確認してみてはいかがでしょうか。

確認しておきたいことのチェックリスト

• 特許管理・期限管理システムのサーバーを、誰が管理しているか
• そのサーバーに、インターネットから直接接続できる状態になっていないか
• OSや関連ソフトの更新を、誰が、どのくらいの頻度で行っているか
• ベンダーからの脆弱性の連絡が、確実に届く窓口があるか
• 委託先との契約に、事故が起きたときの連絡のルールがあるか
• 漏えいが起きたときの報告先(個人情報保護委員会、警察、依頼人)と期限を把握しているか
• 通知する相手(発明者、依頼人など)の連絡先をすぐに出せるか
• 第一報をいつ出すか、方針を決めているか

まとめ

情報の漏えいは、どれだけ気をつけていても起こりうるものです。起きてしまったときに慌てないよう、公表されている事例から「止める・調べる・報告する・知らせる」の流れを学んでおくことが大切だと思います。

埼玉大学が対応を細かく公開していただいたことで対処法の参考になった気がします。特許出願ココも外部に公開しているサーバーであること、公開データとはいえ、蓄積してきたデータがあることを考えると、セキュリティー向上は必須だと思いました。DIYサーバーですが、漏えいがないようにセキュリティー向上に努めたいと思います。

出典(2026年11月1日に確認)

• 埼玉大学「本学が委託する特許管理システムへの不正アクセスについて(ご報告とお詫び)」(2026年3月30日)
• 株式会社ネットワークス「会社概要」「KEMPOS」
• 日本パテントデータサービス「特許事務所向け管理システム PATDATA(PowerGres版)」「機能紹介」
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」