【解説】Jアラート、受け手は登録制で管理｜送り手の確認は公開資料の外に

8月26日、Jアラートの全国一斉情報伝達試験がありました。届くかどうかは、年に4回確かめられています。では、鳴ったその警報を誰が送ったのかは、どこで確かめられているのでしょうか。報道の4日後に業務規程を読み直すと、受け手の管理と送り手の証明のあいだに、大きな落差がありました。

全国瞬時警報システム（Jアラート）について、人工衛星を経由して送信されるデータに暗号化や発信元を保証する機能がないことが、2026年8月30日に報じられた。総務省関係者も認めている。アンノウン・テクノロジーズの切敷裕大氏が、自治体が保有した後に中古市場へ出品された受信機を分析し、電子署名などの発信元を保証する仕組みがないことを確認した。

ドローンなどで高所から同じ形式のデータを受信用アンテナへ送信すると、受信側は偽情報を見破ることができないとされる。消防庁国民保護室は、詳細は明らかにできないが安定運用に取り組んでいるとしている。Jアラートの業務規程は令和8年5月18日に一部改正され、同月29日に施行された。規程は、消防庁が人工衛星および地上回線を経由して情報を送信すると定めている。

なぜ今日なのか

8月26日の午前11時ごろ、Jアラートの全国一斉情報伝達試験がおこなわれました。年4回のうちの1回で、国から送った試験情報が自治体に届き、防災行政無線などの情報伝達手段が自動起動して住民まで伝わるかを確かめるものです。業務規程の第十三条は、消防庁と情報受信機関に対して、システムおよび機器が正常に作動していることを定期的に確認するよう求めています。

その4日後の8月30日、Jアラートで人工衛星を経由して送られるデータには、暗号化も発信元を保証する機能もないことが報じられました。総務省関係者もこれを認めています。なお、この脆弱性に関する技術的な事実は、現時点では共同通信の報道に基づくもので、消防庁や研究者による公表資料は出ていません。

並べてみると、こうなります。届くかどうかは年に4回確かめている。一方、届いたデータを送ったのが本当に消防庁なのかを受信機がどう確かめているかは、公開されている規程からは分かりません。

そして今日8月31日は、株式会社理経が保守してきたJアラート受信機MRJA2000系の3機種、MRJA-2000-hs、-hp、-hhについて、同社が案内する保守期限の最終日にあたります。新規の受注は2025年6月末で終わり、その後は新型のJARS-3000へと世代が移りました。今回の分析に使われた受信機も、地方自治体が保有したのち中古市場に出品されたものでした。

試験の日、報道の日、保守期限の日。3つの日付が、6日のあいだに並びました。この記事を今日書いているのは、そのためです。

受け手は、登録制で管理されている

業務規程を読むと、Jアラートが受け手をどれほど厳密に管理しているかがわかります。

情報を受信できるのは、地方公共団体、指定行政機関、指定地方行政機関、指定公共機関、指定地方公共機関、そして住民への災害情報伝達に公的な役割をもつ法人など、第二条が挙げる7つの類型です。受信を希望する機関は、あらかじめ様式第一号を提出して登録を求めなければならず、市町村であれば都道府県を経由します。受信機を置ける場所も、原則として事務所、支庁、地方事務所、支所、消防本部と第三条で定められています。

個体の単位まで残る記録

管理はさらに細かい。消防庁が公開している取扱文書によれば、受信機の廃止や休止を報告するとき、自治体は団体名、受信機管理番号、MACアドレス、年月日、理由を連絡します。「廃止」は登録情報を管理システムから完全に削除して再設置を不可能にする手続き、「休止」は登録を残したまま消防庁の監視対象から外す手続きと、区別まで用意されています。

つまり、どの機関のどの個体がどういう状態にあるかを、国は受信機管理番号とネットワーク機器のアドレスを伴って管理しています。

では、送り手はどうか

規程の第十二条は、消防庁と情報受信機関がハードとソフトの両面にわたり必要なセキュリティレベルを確保するよう定めていますが、その具体的な内容は消防庁国民保護運用室長が別に定めるとされ、公開されていません。消防庁が「セキュリティーの観点から詳細は明らかにできない」と答えているのは、この建て付けと整合します。受け手の管理は公開資料から具体的に読み取れる。送り手の真正性をどう確かめているかは、公開資料の外にある。この非対称が、今回の報道が置かれている場所です。

「名前は認証ではない」

同じ形の問題を、この8月にもうひとつ扱いました。デルタ航空591便の機内に本物そっくりの偽Wi-Fiが現れた件です。あのとき書いたのは、無線の世界では名乗ることと証明することが別だという一点でした。1978年に導入されたACARSという航空機の文字通信も、従来型の運用では平文で流れることがあり、受信設備をもつ第三者が読み取れます。

ただし、誰でも受け取れることと、誰でも送れることは、同じではありません。放送型の仕組みは、受信の前に双方向の認証を挟みにくい。それでも、警報そのものが本物かどうかは、電子署名という別の層で確かめられます。3GPPが10年以上にわたって検討してきたのは、まさにその層です。

なぜ携帯電話の緊急警報に認証がないのか。2019年に大統領警報のなりすましを実証した研究チームは、こう説明しています。ネットワークにまだ接続していない端末や、見知らぬ事業者にローミング中の端末にも警報を届けられるようにするため、認証を求めない設計が選ばれた。加えて、警報の多くが地方自治体から送られるため、中央集権的な鍵の管理は維持が難しい。可用性を優先し、真正性を対価として差し出した設計だというのが、研究チームの説明です。

同じ問いが、経路の違う2つの区間にある

ここは分けて読む必要があります。

今回報じられたのは、消防庁から自治体の受信機までという上流の区間です。一方、スマートフォンに届く緊急速報メールは、携帯基地局からの一斉同報という別の区間を通ります。プロトコルも無線区間も所管も異なります。この下流側については、海外で研究の蓄積があります。

1000ドル未満の機材で成立した実証

2019年、コロラド大学ボルダー校のグループが、大統領警報を含む緊急警報を偽装できることを実証しました。研究チームは、市販の1000ドル未満のソフトウェア無線とオープンソースの改変で実現できると説明しています。テストしたのは5つのメーカーの9機種で、iOSとAndroidの両方が含まれます。同チームによれば、1ワットの送信機で偽の警報が届くのは半径1km圏内の大半の端末までです。技術の詳細は公表する一方で攻撃コードは公開せず、2019年1月の時点で通信事業者、政府機関、端末メーカーへ開示しています。

2022年には5Gの警報系を対象とした研究が続き、2026年4月に公開された論文では、5Gスタンドアロン向けとしては初のオープンソース実装が示されました。端末は通信を確立していない待機状態でも警報を受け取る仕様のため、攻撃側は完全な接続を必要としません。

標準化の文書に残る一文

標準化の側も、手をこまねいていたわけではありません。3GPPは公共警報システムのセキュリティを検討する技術報告書を重ね、最新のRelease 19版は2025年10月に公開されています。そこには、電子署名で警報通知を保護する方式の検討が積み上がっています。

ただし同じ報告書には、PWSセキュリティの要件は任意である、これを必要としない国や地域があるため、と書かれています。さらに踏み込んだ一文もあります。PWSセキュリティは任意機能であり、いくつかの地域、すなわち米国と日本は、署名付きの警報通知を配信する見込みが薄いことを明確にしている。標準化の文書が、そう記録しています。

この一文は、最近になって書き加えられたものではありません。同じ文は、2014年9月に公開されたRelease 12版にも、ほぼ一字一句そのまま載っています。日本の標準化団体である電波産業会が公開している版でも確認できます。2025年に新しい方針が示されたという話ではなく、10年以上前に記録された判断が、更新のたびに引き継がれてきたということです。

日本の上流区間と、海外の携帯網で研究されてきた下流区間。技術も所管も別ですが、受信側が受け取ったメッセージの真正性をどう判定するのかという問いは共通しています。

手がかりは、規程のなかにもある

悲観的な話として閉じるには早い理由が、業務規程そのものにあります。

第四条は、消防庁が人工衛星および地上回線を経由して情報を送信すると定めています。第十八条は、受信機ソフトウェアのバージョンアップ、状況に応じた情報伝達の確保、消防庁による稼働状況の把握などのために、受信機と地上回線を接続しなければならないと定めています。Jアラートには、2つの送信経路がある。現行の受信機が両者を突き合わせて真偽の判定に使っているかどうかは公開資料からは確認できませんが、経路が複数あるという構成そのものは、これから対策を考えるときの材料になります。

先ほど触れた2026年の論文も、攻撃の実装だけで終わっていません。同じ警報が近隣のセルからも流れているかを端末が照合する方式を提案し、実装して評価しています。正規の警報であれば、対象の地域では複数の基地局から同じ内容が観測されます。一方、単独の偽の基地局から送られた警報は、周辺のセルで同じ内容を確認できません。この違いを手がかりに、ひとつの発信源からしか届いていない警報を疑わしいものとして扱う、という考え方です。

第十五条は、消防庁がJ-ALERTの改良について計画的に検討し、その情報を受信機関へ提供すると定めています。改良を続ける枠組みは、制度の中に置かれています。

誰に、どう伝えるか

もうひとつ、この件が置かれている文脈があります。脆弱性の伝え方です。

2025年8月、FeliCaの脆弱性が報道を通じて公になりました。その翌月、経済産業省、情報処理推進機構、JPCERTコーディネーションセンター、国家サイバー統括室の4者が連名で、情報セキュリティ早期警戒パートナーシップガイドラインに沿った取り扱いを改めて求める声明を出しています。声明は特定の事案を名指しせず、「昨今の国内における報道等」を踏まえたものとしています。発見者はIPAへ届け出て、正当な理由なく第三者へ開示しない。開示が必要なときも事前に相談する。そうした手順です。

窓口はどこにあるのか

この枠組みが何を受け付けるかは、IPAが公開しています。日本国内で利用されているソフトウェア製品と、日本国内からのアクセスが想定されるウェブアプリケーション。暗号アルゴリズムやプロトコルを実装しているものは含まれる一方、一般的な仕様そのものの脆弱性は含まれません。

今回の指摘が、受信機という製品の実装に関わるものなのか、Jアラートというシステムの設計に関わるものなのか。公開されている情報からは、どちらとも判断できません。国が運用する警報インフラで、しかも仕様が公開されていない領域について気づいたことを、誰に届ければよいのか。その道筋は、まだはっきりしていないように見えます。

IPAが主催する研究会では脆弱性情報の取り扱いをめぐる議論が続いており、2025年5月16日に成立したサイバー対処能力強化法にもとづく官民連携の主要な制度が、今年10月1日から動き出します。個人の判断の是非を数えるより、受け皿を整えるほうが先だろうと考えています。重要インフラの弱点に気づいた人が、次はどこの扉を叩けばよいのか。その答えが用意されていれば、今回のような経路をたどる必要もなくなります。

それでも、警報は信じてよい

最後に、誤解を招きたくない点を書いておきます。

2019年の研究チームは、公開したFAQで、緊急警報を信じてよいかという問いに「はい」と答えています。この攻撃は物理的に近い距離からしか成立せず、全国規模で偽の警報を鳴らすことはできない。ラジオ、テレビ、インターネットといった別の経路で確かめられる、というのがその理由です。これは米国のLTEとWEAに対する偽基地局攻撃についての見解であり、今回報じられたJアラートの衛星経由データについて、同じ範囲や条件が成り立つことを示すものではありません。

それでも、受け取る側の作法として引き継げるものがあります。ひとつの警報だけで判断せず、別の経路でも確かめる。この考え方は共通します。

消防庁が長く進めてきた情報伝達手段の多重化は、災害に強くするための備えとして整えられてきました。防災行政無線、緊急速報メール、テレビ、ラジオ、コミュニティFM。そして受け取る側にとっては、その多重化が真偽を確かめる手がかりにもなります。

サイレンが鳴ったとき、私たちがすべきことは変わりません。屋内に入り、テレビとラジオをつける。業務規程の別表が定める放送文言そのものが、すでにそう呼びかけています。ひとつの経路を疑うのではなく、複数の経路を持っておくこと。それは受け取る側の作法であると同時に、これからJアラートの対策を考えるうえでも、ひとつの設計上の選択肢になります。

【関連記事】

デルタ航空591便に偽Wi-Fi出現｜DEF CON帰りの機内で何が起きたか
機内に現れた本物そっくりの偽Wi-Fiを扱った回。無線では名乗ることと証明することが別だという論点を、ACARSとともに整理した。

ソニーFeliCa古いチップに脆弱性、Suica・楽天Edy等主要サービスは影響なし
同じ研究者が指摘したFeliCaの脆弱性を扱った回。IPAを通じてソニーへ報告され、対象となるチップの範囲が公表された事案。

サイバー対処能力強化法、10月施行—特定重要電子計算機の届出・報告制度、解説案がパブコメ開始
10月に施行される制度の解説。届出と報告の建て付け、衛星通信への攻撃事例、対象となる事業者の現況までを丁寧に扱っている。

【編集部後記】

消防庁の取扱文書には、受信できなくなったときの手順も書かれています。団体名と受信機管理番号、原因と期間を報告し、24時間つながる担当者の連絡先を伝える。そして復旧までのあいだは、必ず手動での配信体制を確保する。機械が止まったら、人が手で流す。自動起動という言葉の裏側に、この一行が置かれていました。

真正性の話も、行き着く先は似ているのかもしれません。確かめるという手順を、誰の、どこに置くのか。

【用語解説】

全国瞬時警報システム（Jアラート）
弾道ミサイル情報、緊急地震速報、大津波警報など、対処に時間的余裕のない事態に関する情報を、国から住民まで瞬時に伝達するシステムである。消防庁が人工衛星および地上回線を経由して情報受信機関へ送信する。

全国瞬時警報システム業務規程
Jアラートの運用と、消防庁および情報受信機関の責務を定めた規程である。平成22年12月に制定され、直近の改正は令和8年5月18日、施行は同月29日である。

情報受信機関
業務規程第二条が定める、Jアラートの情報を受信できる機関である。地方公共団体、指定行政機関、指定地方行政機関、指定公共機関、指定地方公共機関などの7類型からなる。

自動起動
受信した緊急情報にもとづき、同報系防災行政無線などを人の操作を介さずに起動させることである。弾道ミサイル情報から気象等の特別警報までは、原則として自動起動の対象となる。

電子署名
データの送信元と内容が改ざんされていないことを、受信側が数学的に検証できるようにする仕組みである。中身を秘匿する暗号化とは目的が異なり、警報のように広く読ませる情報では、こちらが真正性を担う。

MACアドレス
ネットワーク機器に個体ごとに割り当てられる識別子である。Jアラート受信機の廃止や休止を報告する際の連絡事項に含まれる。

公共警報システム（PWS）
携帯電話網を使い、当局が地域内の端末へ緊急警報を一斉配信する仕組みの総称である。日本の緊急速報メールもこの枠組みに含まれ、仕様は3GPPが定めている。

ソフトウェア無線
無線信号の処理をハードウェアではなくソフトウェアで行う機器である。設定を書き換えることで多様な無線方式を扱えるため、研究にも攻撃の実証にも用いられる。

5Gスタンドアロン
既存のLTE設備に依存せず、5G単独で構成されたネットワーク方式である。

ACARS
航空機と地上のあいだで短い文字情報をやり取りする通信方式である。1978年に導入され、従来型の運用では平文で流れることがある。

情報セキュリティ早期警戒パートナーシップガイドライン
発見された脆弱性関連情報を関係者の間で管理し、検証と対策が済んでから公表するための手順を定めた指針である。対象は日本国内で利用されるソフトウェア製品と、国内からのアクセスが想定されるウェブアプリケーションである。

【参考リンク】

全国瞬時警報システム業務規程（PDF）｜総務省消防庁（外部）
令和8年5月改正の現行版。送信する情報の種類、情報受信機関の登録、セキュリティレベルの確保、地上回線への接続義務を定めている。

全国瞬時警報システム（Jアラート）の概要｜総務省消防庁（外部）
Jアラートの仕組み、情報伝達手段の多重化、放送内容の例と音声の試聴、業務規程や各種様式へのリンクをまとめた公式のページ。

登録請求書・変更届・廃止(休止)等に関する取扱について（PDF）｜総務省消防庁（外部）
受信機の設置、変更、廃止、休止、エラー報告の手続きを整理した文書。廃止と休止の違いと、報告に必要な連絡事項が示されている。

Jアラート関連製品｜株式会社理経（外部）
Jアラート受信機を提供する企業の製品ページ。新型JARS-3000の仕様と、MRJA2000系の受注終了および保守期限を案内している。

ETSI TR 133 969 V19.0.0（PDF）｜ETSI（外部）
公共警報のセキュリティを検討した3GPPの技術報告書。2025年10月公開の最新版で、署名方式の検討と要件が任意である旨を記す。

Spoofing Presidential Alerts｜University of Colorado Boulder（外部）
2019年に緊急警報のなりすましを実証した研究チームのページ。攻撃の範囲、開示の経緯、対策案、そしてFAQを掲載している。

From Spoofing to Trust: Emergency Alerts Spoofing Testbed and Cross-Cell Verification｜arXiv（外部）
5Gスタンドアロン向けの警報なりすましをオープンソースで実装し、近隣セルとの照合による対策を提案して評価した2026年の論文。

情報セキュリティ早期警戒パートナーシップガイドラインに則した対応に関するお願い｜JPCERT/CC（外部）
経済産業省、IPA、JPCERT/CC、国家サイバー統括室の4者による連名文書。届出と開示の手順、今後の見直し方針を示している。

脆弱性関連情報として取り扱えない場合の考え方の解説｜IPA（外部）
早期警戒パートナーシップが取り扱う範囲の解説。プロトコルを実装した製品は含む一方、仕様そのものは含まないと明記されている。

アンノウン・テクノロジーズ株式会社（外部）
今回の分析を行った切敷裕大氏が代表を務めるセキュリティ企業。デジタルフォレンジックやリバースエンジニアリングを事業とする。