熊本県立大学は12月13日、同学名誉教授のメールアカウントが不正ログインされ、個人情報が漏えいした可能性があると明らかにした。
名誉教授は例外的に2要素認証を免除されていた上、他サイトでも使っている短いパスワードを設定していたという。

事実が判明したのは7日。名誉教授のメールアカウントに海外から8月30日以降で約1000件の不正ログインがあったと分かった。
漏えいした可能性があるのは、教職員や学生などの氏名やメールアドレスなど3537人分、教職員などの履歴書43人分、名誉教授のアドレス帳991人分、その他の人事資料など。

熊本県立大学は原則として2要素認証を求めているが、名誉教授はスマートフォンを持っていなかったため例外的に免除していた。
使っていたパスワードは短く、他サイトでも使っていたもので、これらが不正ログインの原因になったとみている。

　問題判明後は、パスワードの変更やウイルススキャン、警察への相談、関係者への謝罪などの対応をとったという。
再発防止策としては、2要素認証の免除を一切認めないこと、情報管理ルールを周知徹底するとしている。

例外規定が不正ログインの一因に　熊本県立大が被害　2要素認証なしの名誉教授が狙われ
https://www.itmedia.co.jp/news/articles/2212/14/news095.html