アルカディアの防災メール基盤に不正アクセス 全国の自治体に波及

防災や緊急の連絡を一斉に送るメール配信サービス「SpeeCAN RAIDEN(スピーキャン・ライデン)」を運営する株式会社アルカディア(大阪府箕面市)が、不正アクセスを受けたと公表しました。この基盤を使う全国の自治体の登録者情報が流出した可能性があり、大分県などの例が報じられています。この記事は、アルカディアの公式のお知らせと報道で確認できたことをまとめ、分からないことは分からないと記します。

何が起きたか

アルカディアは、自社が運営する災害時の一斉情報配信サービス「SpeeCAN RAIDEN」が、第三者による不正アクセスを受けたと公表しました。この基盤は、多くの自治体が、住民向けの防災・緊急連絡メールや、職員の参集・安否確認に使っています。そのため、1つの基盤への侵入が、多くの自治体の登録者へ一度に波及する形になりました。

具体的な攻撃の手法や、侵入の経路は公表されていません。この記事も、中身を推測しません。

大分県で報じられている件数

報道によると、大分県では次の情報が流出した可能性があるとされています。大分県自身の公式のお詫びは、この記事の作成時点では確認できていません。件数は報道にもとづくものです。

これらは「流出した可能性がある最大の規模」で、すべてが外部に取得されたと確認されたものではありません。同じ基盤を使う岡山市、さいたま市、北九州市など、ほかの多くの自治体も同時に影響を受けたと報じられています。

時系列

アルカディアは、対象サーバーの緊急停止、不正アクセス元のIP遮断、サーバーの点検を実施し、個人情報保護委員会への報告や、警察・近畿総合通信局などへの通報を行ったとしています。

影響する会社・しない会社

• 影響する: SpeeCAN RAIDEN を使う自治体に、防災・緊急連絡メールを登録している住民です。メールアドレスなどが流出の可能性の対象です。
• 影響する: 同じ基盤で、職員の参集・安否確認を運用している自治体です。氏名・所属・職員番号などが対象になり得ます。
• 影響する: 住民向け・職員向けのサービスを、外部の1つの基盤に集約して委託している組織です。基盤への侵入が一度に広がる構図は、自組織にも当てはまらないか確かめる価値があります。
• 影響しない(可能性が高い): この配信基盤を使っていない組織です。ただし、使っている委託先が無いかは、契約を確かめないと分かりません。

情シスが今日やること

• 委託先の棚卸し。住民向け・職員向けの通知を、外部の配信基盤に委託していないか。委託先が1つの基盤に多くの顧客を集約していないかを確かめます。
• なりすましへの備え。防災メールのような「公的な送信元」は信頼されやすく、なりすましメールの標的になります。配信元を装う不審なメールが来る前提で、住民・職員への注意喚起の文面を用意します。
• 連絡の段取り。委託先で事故が起きたとき、どこから連絡が来て、誰が住民・職員へ告知するか。停止・復旧の判断を、委託先とどう共有するかを決めておきます。
• 復旧後のパスワード変更。復旧したサービスで、職員のログインパスワードの変更が必要か確かめ、案内します。