岡山市ではダム放流の電話連絡ができなくなり、綾瀬市では緊急情報の配信が防災行政無線だけになりました。一方、大分県は警報の配信を続けています。同じ配信サービスへの不正アクセスで、自治体の対応はここまで分かれました。漏えいの件数の陰で、防災の連絡網そのものが揺れています。
大阪府箕面市のアルカディアは10月13日、自治体向けの防災情報一斉配信サービス「SpeeCAN RAIDEN」が第三者による不正アクセスを受け、個人情報が漏えいした可能性があると発表した。10月11日16時30分に不審な挙動を確認し、12日3時ごろに侵入経路をふさいだ。漏えいの可能性があるのは、メールアドレス約313万6千件、電話番号約10万5千件、FAX番号約1万5千件（いずれも推計）と、配信履歴のメッセージ本文である。
同社は13日11時、侵入経路となったSpeeCAN RAIDENの一部と学校向けの「ライデン・スクール」を緊急停止した。利用する自治体は同日、配信の停止や登録の受付停止を相次いで公表した。
From: 
SpeeCAN RAIDENへの不正アクセスによる個人情報漏洩の可能性について
【編集部解説】
今回の事案は、漏えいの件数だけを追うと見誤ります。SpeeCAN RAIDENは、自治体が住民や職員に防災情報を届けるための仕組みです。侵害されたのは、情報を貯めておく場所であると同時に、災害時に情報を送り出す経路でした。
1回の入力で、メール・電話・FAXへ
アルカディアのサービス資料によると、SpeeCAN RAIDENは、ブラウザから文字を入力するだけで、メールの配信、合成音声による電話の自動発信、FAXの自動送信、SNSへの配信をまとめて行えるサービスです。気象警報やJアラートの信号と連携して自動で配信でき、オプションで携帯電話会社の緊急速報メール、防災行政無線、「Yahoo!防災速報」アプリにも送れます。
資料の図では、住民と職員にはメール、幹部や高齢者などには電話、避難所などにはFAXと、相手によって手段を使い分ける設計です。職員を呼び集める「参集」の状況を受け取って把握する機能もあります。今回、東海市は市職員1,000件と医療従事者など210件の氏名や連絡先が、今治市は職員参集メールに登録された職員の氏名とメールアドレスが漏えいした可能性を公表しました。住民だけでなく、災害時に動く側の連絡網も同じ仕組みに載っていたことになります。
アルカディアが漏えいの可能性があるとした情報には、配信履歴のメッセージ本文も含まれます。どの自治体の、どの時期の配信文が対象になるのかは、まだ示されていません。
止めた自治体、続けた自治体
アルカディアが緊急停止したのは、侵入経路となっていた一部のサービスです。SpeeCAN RAIDENのうちraiden3.ktaiwork.jpの利用者向けと、「ライデン・スクール」のうちs2.ktaiwork.jpの利用者向けが対象でした。一方で、利用する自治体はそれぞれの判断で、配信を止めるか続けるかを決めています。10月13日の公表から、判断が分かれた例を並べます。
| 自治体 | 13日時点の対応 | 代わりの手段・備考 |
|---|---|---|
| 岡山市 | 停止防災メールの配信と、ダム放流の電話連絡ができない | 気象庁、県・市のサイト、報道を案内 |
| 横須賀市 | 停止防災メール、防災FAX、防災電話、防犯メールの4サービスを停止 | 市のサイト、SNS、防災行政無線。登録者への不審な迷惑メールをすでに確認 |
| 綾瀬市 | 停止「あやせ安全・安心メール」を停止。市の公式LINEを通じた配信もできない | 再開までは防災行政無線だけで発信 |
| 見附市 | 一部停止職員が手作業で送る配信機能だけを停止 | 公式SNS、市のサイト |
| 大分県 | 一部停止新規登録・変更・解除を停止 | 登録者への気象警報などの配信は通常どおり |
| 南砺市 | 継続「なんと！緊急メールサービス」は通常どおり運用 | 不審なメールや電話への注意を呼びかけ |
同じ仕組みを使っていても、対応は自治体ごとに分かれました。公表文から読み取れるのは、停止した範囲と、代わりに案内した手段の違いです。防災行政無線やSNSでの発信を案内した自治体もあれば、登録者への配信を通常どおり続けるとした自治体もあります。綾瀬市は、公式LINEでの配信も同じ仕組みを通っていたため、再開までは緊急情報の配信が防災行政無線だけになると案内しています。
止めれば、確認が終わるまでその配信経路を使わないことになります。続ければ、登録した住民へ警報を届け続けられます。どちらが正しいかではなく、それぞれの自治体が公表時点の状況に応じて選んだ対応として読めます。台風や大雨がまだ起こりうる時期に、こうした判断を迫られたこと自体が、この事案の重さを示しています。
防災メールを名乗る連絡に注意
漏えいの可能性があるのは、メールアドレスや電話番号といった連絡先です。横須賀市は、登録者から不審なメールについて問い合わせを受けたことが、今回の確認のきっかけだったとしています。登録者に不審な迷惑メールが届いていることも、すでに確認したとしています。複数の自治体が、自治体や配信事業者を装って個人情報を求めるメールや電話に注意するよう呼びかけています。
防災メールは、住民が自分から登録し、信頼して受け取る連絡です。その信頼を逆手に取った「なりすまし」こそ、住民にとっての二次被害になりえます。届いた連絡が本物か迷ったときは、メールの中のリンクではなく、自治体の公式サイトや公式SNS、以前から知っている連絡先で確かめるのが安全です。Jアラートを扱った記事でも、警報は別の経路で確かめ、複数の受け取り手段を持っておくことを勧めました（関連記事）。
委託の層は、自治体からは見えにくい
宮崎県の公表は、委託の流れを明記しています。県はサービスをNECネッツエスアイに委託し、同社がアルカディアのシステムを使っていました。住民から見れば県のメールでも、実際に動いていたのは、委託先のさらに先にあるシステムです。
委託先の侵害が、多くの委託元の公表として広がる構図は、10月上旬のi-ask、Commune、IDCFクラウドの事案でも見られました（関連記事）。今回の委託元は自治体で、預けていたのは住民へ情報を届ける経路そのものです。総務省は、一部の自治体から報告があり、状況を確認中だとしています。
アルカディアは、侵入経路を特定して遮断し、停止していないサービスのサーバーに不正なプログラムがないことも確かめたと公表しています。侵入の具体的な手口や、自治体ごとの影響の範囲は、今後の調査で示される見込みです。防災の連絡手段は、ひとつが止まっても別の手段で届くよう複線化が進められてきました。今回の事案は、その複線が同じ委託先の上に重なっていないかを、それぞれの自治体が確かめ直すきっかけになりそうです。
【関連記事】
【解説】i-ask・Commune・IDCFクラウドに不正アクセス、大和証券やヤマハなど委託元の公表が連鎖
【解説】Jアラート、受け手は登録制で管理｜送り手の確認は公開資料の外に
IDCFクラウドにランサムウェア攻撃、495の企業・自治体に影響 茨城県サイトも閲覧できず
【編集部後記】
SpeeCAN RAIDENのサービス資料の表紙には、稲妻の写真とともに「簡単」「確実」「迅速」という3つの言葉が並んでいます。一度の入力で、メールにも電話にもFAXにも届く。災害のときに頼りたくなる設計です。
ただ、一度で届く仕組みは、止まるときも一度に止まります。便利さと引き換えに何をひとつの場所に預けているのか。今回の事案は、その問いを、使う側の自治体に静かに返しているように思えます。
【用語解説】
Jアラート（全国瞬時警報システム）
弾道ミサイル情報や緊急地震速報など、対処に時間の余裕がない情報を、国から人工衛星などを通じて自治体へ瞬時に送るシステム。自治体は受け取った情報を防災行政無線などで住民に伝える。
緊急速報メール（エリアメール）
携帯電話会社が、特定の地域にいる携帯電話へ一斉に届ける緊急情報のメール。事前の登録は不要で、自治体などが発信元になる。
防災行政無線
自治体が屋外スピーカーや家庭内の戸別受信機を通じて、住民に災害情報などを放送する無線の仕組み。
参集
災害の発生時などに、職員を職場や指定の場所へ呼び集めること。自治体は、メールや電話で職員に参集を指示し、応答の状況を集計する仕組みを使うことが多い。
なりすまし
自治体や企業など、信頼される送り手を装ってメールや電話を送り、個人情報の入力や不正なサイトへの誘導を狙う手口。
【参考リンク】
株式会社アルカディア「SpeeCAN RAIDENへの不正アクセスによる個人情報漏洩の可能性について」（外部）
アルカディアの正式なお知らせ。経緯、対象となるドメイン6つ、漏えいの可能性がある項目、個人情報相談窓口をPDFにまとめて示している
SpeeCAN RAIDEN公式ブログ「不正アクセスに伴う一部サービスの緊急停止について」（外部）
10月13日11時から、侵入経路となっていたraiden3とs2の利用者向けサービスを緊急停止したと知らせる告知。復旧の時期は未定としている
株式会社アルカディア「SpeeCAN RAIDEN｜製品案内」（外部）
メール、電話、FAX、SNSへの一斉配信と、Jアラートや気象警報、防災行政無線、緊急速報メールとの連携を説明する製品の案内ページ
横須賀市「横須賀市防災情報メール及び防犯あんしんメール配信サービス等における不正アクセスに伴う個人情報の漏えいのおそれについて」（外部）
登録者からの不審なメールの問い合わせで不正アクセスを確認し、4サービスを停止。サービスごとの件数と代わりの発信手段を示している
綾瀬市「あやせ安全・安心メールの運用停止について」（外部）
最大1万1053件が対象。公式LINEを含めて配信ができなくなり、再開までは防災行政無線だけで緊急情報を伝えると案内しているお知らせ
大分県「不正アクセスの疑いに伴う防災メール等配信システムの新規登録等停止について」（外部）
最大2万7667件のメールアドレスが対象。新規登録・変更・解除を止める一方、登録者への気象警報などの配信は通常どおり続けるとした
宮崎県「宮崎県防災・防犯情報メールサービスにおけるメールアドレス等の漏えいの可能性に係るお知らせ」（外部）
NECネッツエスアイへの業務委託で、アルカディアが運用するシステムを使っていたと明記したお知らせ。登録3万8959件が対象となる
【参考記事】
防災情報に不正アクセス メールアドレス313万件流出か（外部）
東京新聞（共同通信）。メールアドレス約313万6千件と電話番号約10万5千件の可能性、影響した自治体、総務省のコメントを伝えた
防災情報サービスに不正アクセス 自治体向け、メアド313万件漏洩か（外部）
日本経済新聞。自治体向けサービスでメールアドレス313万件が漏洩した可能性と、学校向け「ライデン・スクール」の緊急停止を報じた
防災情報配信サービス「SpeeCAN RAIDEN」への不正アクセスについてまとめてみた（外部）
piyolog。アルカディアの公表の時系列と、横須賀市や岡山市など利用する自治体それぞれの公表内容を、一覧の形にまとめた記事
