AI生成コンテンツ / AI-generated content
防災メールや消防の連絡を支えるサービスで、不正アクセスが発覚しました。多くの自治体に影響が及んだ背景には、何があるのでしょうか。本記事は2026年（令和8年）10月15日17時50分の事業者発表（第9報）までを基に、確認された事実と、仕組みを理解するための一般論を分けて説明します。
事件の経緯と影響範囲
AI生成コンテンツ / AI-generated content
大阪府箕面市の株式会社アルカディアは、防災・消防関連サービスへの不正アクセスと、個人情報が漏洩した可能性を公表しました。不正アクセスの確認と、情報流出の確認は別です。発表された件数は、漏洩した可能性のある情報の最大件数・推定値です。
主な経緯は、10月11日の不審な挙動の発見、12日の応急措置、13日の一部サービス緊急停止、14日のNET119・119RAIDENへの調査対象拡大です。15日には、同社が全サービスの復旧を発表しました。復旧後も漏洩範囲の調査は続いています。
漏洩した可能性がある情報
漏洩した可能性がある情報
- SpeeCAN RAIDENなどの対象サービス：メールアドレス約313万6,000件、電話番号約10万5,000件、FAX番号約1万5,000件。名前、担当者・契約情報、保存された本文も対象です。
- 119RAIDENの対象サービス：メール約9万7,000件、電話約1万7,000件、FAX約400件。連絡先の名前や保存本文なども対象です。
- NET119の対象サービス：約1万3,000件。名前、生年月日、性別、住所、電話・メール・FAX、他サービス登録時の入力情報が対象です。
自治体ごとの分離と、未解明の原因
AI生成コンテンツ / AI-generated content
自治体ごとの利用権限の分離と、侵入後の被害を自治体内に封じ込めることは別です。同社の製品説明にはIDごとの権限設定がありますが、自治体別のデータベースやサーバーの分離方法は確認できません。今回、どの境界が突破されたかも公表されていません。
クラウドで複数の顧客にサービスを提供するとき、顧客ごとの区画を「テナント」と呼びます。A市の担当者にB市のデータを見せない仕組みが、テナント分離です。
クラウドで複数の顧客にサービスを提供するとき、顧客ごとの区画を「テナント」と呼びます。A市の担当者にB市のデータを見せない仕組みが、テナント分離です。
AWSの技術解説も、本人を確認する認証と、顧客間の分離を区別しています。これは設計の一般論であり、アルカディアがAWSを利用していることを示すものではありません。
例えば、共通のアプリが自治体IDでデータを絞り込む構成では、その権限確認の欠陥が自治体間の境界に影響し得ます。データベースを自治体別に分けても、共通アプリや保守アカウントが複数のデータベースを操作できるなら、その権限の侵害が広範囲に及ぶ可能性があります。サーバーを分けた構成でも、共通管理基盤の侵害や、同じ弱点を各サーバーで悪用する攻撃への備えが必要です。
以上は複数自治体へ影響が広がり得る構成例であり、今回判明した攻撃手法ではありません。分離は「有る・無い」だけでなく、どの層で、どの権限に対して効くかを確かめる必要があります。
例えば、共通のアプリが自治体IDでデータを絞り込む構成では、その権限確認の欠陥が自治体間の境界に影響し得ます。データベースを自治体別に分けても、共通アプリや保守アカウントが複数のデータベースを操作できるなら、その権限の侵害が広範囲に及ぶ可能性があります。サーバーを分けた構成でも、共通管理基盤の侵害や、同じ弱点を各サーバーで悪用する攻撃への備えが必要です。
以上は複数自治体へ影響が広がり得る構成例であり、今回判明した攻撃手法ではありません。分離は「有る・無い」だけでなく、どの層で、どの権限に対して効くかを確かめる必要があります。
今回の発表は、対象を複数のサービス用ホスト名で示しています。このことは、複数自治体が依存する事業者側の基盤に問題が起きた可能性と整合します。ただし、ホスト名だけで物理サーバーやデータベースの共用範囲は判断できません。
判明していないことは、具体的な脆弱性、取得された権限、最初の侵入時刻、サービス間に侵害が広がった経路です。一つの侵入口から広がったのか、同じ弱点を複数箇所で攻撃されたのかも、公開情報からは確定できません。ランサムウェアや公開アプリ解析による攻撃が原因だったとする裏付けも、確認した公式発表にはありません。
したがって、「多数の自治体が一斉に破られた」「自治体間の分離がなかった」と断定するのは早計です。多数の自治体への通知には、共通基盤の侵害により漏洩を否定できない範囲への注意喚起も含まれ得ます。
判明していないことは、具体的な脆弱性、取得された権限、最初の侵入時刻、サービス間に侵害が広がった経路です。一つの侵入口から広がったのか、同じ弱点を複数箇所で攻撃されたのかも、公開情報からは確定できません。ランサムウェアや公開アプリ解析による攻撃が原因だったとする裏付けも、確認した公式発表にはありません。
したがって、「多数の自治体が一斉に破られた」「自治体間の分離がなかった」と断定するのは早計です。多数の自治体への通知には、共通基盤の侵害により漏洩を否定できない範囲への注意喚起も含まれ得ます。
利用者と自治体が確認すること
AI生成コンテンツ / AI-generated content
利用者は自治体の公式案内で、自分が登録したサービスと対象情報を確認します。不審なメールやSMSのリンク・添付ファイルを開かず、連絡先は公式サイトから確かめます。配信が止まっている場合は、自治体が案内する代替の防災情報や連絡方法を確認してください。
同社は復旧に際して、顧客にログインパスワードの変更を求めています。これは管理画面などのログイン利用者に向けた案内として確認し、メールを受信するだけの登録者も全員パスワードを持つかのように受け取らないようにします。サービス復旧は、漏洩調査の完了を意味しません。対象範囲や実際の流出の有無について、続報を確認する必要があります。
自治体が事業者に確認すべき点として、本記事では次を提案します。
自治体が事業者に確認すべき点として、本記事では次を提案します。
- 自治体間の分離を、アプリ、データベース、OS、ネットワークのどこで実施していたか。
- 侵入者が得た権限と、その権限が及ぶ自治体・サービスの範囲は何か。
- データの閲覧・持ち出しを示す記録があるか。記録がなく判断できない範囲はどこか。
- 修正と安全性確認の対象、第三者による検証の有無、再発防止の実施状況はどうか。
- 共通基盤が止まった場合にも、防災情報や消防の連絡を続けられる独立した代替手段があるか。
参考サイト
- SpeeCAN RAIDENへの不正アクセスに伴う一連の対応について：株式会社アルカディア（2026年10月15日17時50分更新・第9報まで）
- SpeeCAN RAIDENへの不正アクセスに伴う一連の対応について：株式会社アルカディア
- SpeeCAN RAIDEN 基本機能：株式会社アルカディア
- 職員情報伝達メールシステムへの不正アクセスによる個人情報漏洩の可能性について：神戸市（2026年10月14日）
- 各務原市が利用する情報配信システム運営事業者への不正アクセスによる個人情報漏えいの可能性について：各務原市（2026年10月14日）
- Security practices in AWS multi-tenant SaaS environments：Amazon Web Services
- 個人情報保護委員会が注意喚起（2026年10月7日）：ぱふぅ家のホームページ
（この項おわり）
