学習塾運営のCKCネットワーク（愛知県名古屋市）と家庭教師派遣サービスを手掛ける学参は5月15日、両社が共同で運用する「新規お問い合わせ情報管理システム」が外部からのランサムウェア攻撃を受け、保存されていた個人情報が漏えいした可能性があると発表した。攻撃を確認したのは5月2日。問い合わせ時に取得した子どもの氏名や学年、相談内容などが対象で、外部へのデータ流出は現時点で確認されていないとしている。両社はサーバを直ちに遮断し、個人情報保護委員会と愛知県警に報告した。外部の専門調査機関と連携し、原因や影響範囲を調査している。
要点
見出し
何が起きた／CKCネットワークと学参が共同運用する問い合わせ管理用サーバが5月2日にランサムウェア攻撃を受けた。
影響／学習塾4ブランドおよび家庭教師サービスへの問い合わせ時に取得した、子どものひらがな氏名（一部漢字の氏を含む）、学年、相談内容（電話番号・メールアドレスを含む場合あり）が漏えいした可能性。
対応／攻撃確認直後にサーバを停止して隔離環境で調査を開始。5月7日に個人情報保護委員会への第一報と愛知県警への報告を完了。現在は外部専門機関とともに原因究明を進めている。
わかっていること／わかっていないこと
わかっていること
攻撃の対象は両社が共同運用する「新規お問い合わせ情報管理システム」のサーバ。攻撃の確認は2026年5月2日で、同日中にサーバをシャットダウン。漏えい可能性のある情報は、学習塾「ナビ個別指導学院」「明倫ゼミナール」「昴塾」「英進進学教室」および家庭教師派遣「学参」への問い合わせ情報。クレジットカード番号や金融機関口座情報など決済関連情報は同システムに保存されていない。現在通塾中の塾生・会員向けの学習システムや会員情報管理システムは別環境で運用しており、影響はないとしている。個人情報保護委員会への報告と愛知県警への通報は5月7日までに完了。
わかっていないこと
実際に外部へデータが流出したかどうかは確認できていない。両社は「漏えいの可能性を否定できない」とし、断定を避けている。侵入経路・原因、影響を受けた具体的な件数、対象期間、攻撃者の身元や攻撃手法、身代金要求の有無、データ復旧の状況などはいずれも調査中で明らかにしていない。
「データファイルへの被害は確認されず」と説明
両社の発表によると、被害が確認されたのは、新規の問い合わせを受け付ける情報管理システムのサーバ。5月2日に第三者によるランサムウェア攻撃を検知し、データファイルを保全したうえで二次被害防止のためサーバを停止したとしている。
同社は「データファイルに対する被害は確認されていない」と説明する一方で、ランサムウェア攻撃を受けた事実を踏まえ、「お客様の個人情報が漏えいした可能性を否定できない」と公表に踏み切った。
お客様の大切な情報をお預かりしているにもかかわらず、このような事態を招き、ご心配とご迷惑をおかけしておりますことを、深くお詫び申し上げます（発表文より）。
子どもの氏名・学年・相談内容が対象
漏えいの可能性が否定できない情報は、問い合わせの際に登録された子どもの氏名（ひらがな表記が中心、一部漢字の氏を含む）、当時の学年、学習に関する相談その他の問い合わせ内容。問い合わせ内容には、電話番号やメールアドレスが含まれる場合があるという。
一方で、クレジットカード情報や金融機関の口座情報といった決済関連情報は同システムには一切保存していないとしている。具体的な件数は公表されていない。
通塾中の生徒には「影響なし」
両社は、被害サーバは新規問い合わせ用のシステムに限られ、現在通塾している生徒や会員向けの学習システム、会員情報管理システムなどは「完全に分離された別環境」で運用していると説明。これらのシステムへの影響はないとしている。
5月2日に攻撃検知、即日サーバ遮断
発表によると、5月2日にランサムウェア攻撃を確認し、データファイルを保全したうえで同日中にサーバをシャットダウン。翌3日から6日にかけて隔離環境でデータファイルの確認と影響範囲の初期調査を行った。5月7日には個人情報保護委員会への第一報、ならびに愛知県警への報告・相談を完了したとしている。
現在は外部の専門調査機関と連携し、原因および影響範囲の特定を急いでいる。
問い合わせ窓口
同件に関する問い合わせ窓口として、CKCネットワークの「お客様相談室」（フリーダイヤル0120-333-160、音声ガイダンス後に「2」を押す）が設置された。受付時間は正午から午後9時まで。
背景 学習塾の問い合わせデータも攻撃対象に
ランサムウェア攻撃は近年、業種を問わず広がっており、学習塾や教育サービスを手掛ける事業者も標的となっている。とりわけ問い合わせ情報には、保護者の連絡先や子どもの氏名・学年が含まれ、フィッシングや特殊詐欺の二次被害につながる懸念がある。
個人情報保護委員会は、不正アクセスにより個人データが漏えいまたは漏えいのおそれがある場合、事業者に速やかな報告と本人通知を義務付けている。今回は漏えいの有無を確定できないため、両社は「可能性を否定できない」段階で先んじて公表に踏み切った形だ。
タイムライン
2026年5月2日
ランサムウェア攻撃を検知。データファイルを保全のうえ、二次被害防止のため対象サーバをシャットダウン。
2026年5月3日〜6日
隔離された安全な環境で、保全データの確認と影響範囲の特定に向けた初期調査を開始。
2026年5月7日
個人情報保護委員会への第一報と、愛知県警への報告・相談を完了。
2026年5月15日
CKCネットワークと学参が共同名義で攻撃事実と漏えい可能性を公表。
同日以降
外部の専門調査機関と連携し、原因と影響範囲の特定を継続中。