利用者は何をすればいいですか？

自治体の防災メールや学校の連絡メールに登録している人：住んでいる自治体や学校がSpeeCAN RAIDENを使っているか、公式サイトで確かめる自治体の防災メールや学校の連絡メールに登録している人：自治体や防災、カード会社を名乗るメールでも、氏名・住所・パスワード・口座情報の入力を求めるものはURLや添付ファイルを開かない SpeeCAN RAIDENを使う自治体・学校の担当者：ログインパスワードを変え、ログイン時の2段階認証を設定する。LINE・X・Facebookとの連携は案内に沿って設定し直す全員：同じメールアドレスで使っているサービスのパスワードが使い回しなら、別々のものに変える

いつ時点の情報ですか？

2026年11月2日17時の公式発表（第25報）時点の内容です。続報が出たら更新します。

HACKING CASE ・続報中・ 2026年11月2日17時の公式発表（第25報）時点

root@se-curity:~/hacking$ cat ./jirei/arcadia.md

アルカディア（SpeeCAN RAIDEN）の不正アクセス（2026年10月公表）

株式会社アルカディア・自治体向けの防災・消防のクラウドサービス

自治体の防災メールなどの一斉配信サービス「SpeeCAN RAIDEN」に不正アクセス。メールアドレス約313万件に漏えいの可能性、142万通の詐欺メールも

ソフトの弱点
総当たり攻撃
バックドア（裏口）
委託先への攻撃
個人情報の漏えい
詐欺メールの送信
データの改ざん
業務停止

約3,136,000件漏えいの可能性があるメールアドレス（推定。電話番号約105,000件、FAX番号約15,000件）
1,423,428通システムから外へ送られた不正メール（フィッシング詐欺の疑い）
9,020件NET119で漏えいの可能性があるメールアドレスに結びつく個人情報
約52時間一部のサーバー（raiden3・s2）を緊急停止した時間

CHECK FIRST

まず、ここだけ確認

使っていた人が、いますぐやること

1
自治体の防災メールや学校の連絡メールに登録している人
住んでいる自治体や学校がSpeeCAN RAIDENを使っているか、公式サイトで確かめる
2
自治体の防災メールや学校の連絡メールに登録している人
自治体や防災、カード会社を名乗るメールでも、氏名・住所・パスワード・口座情報の入力を求めるものはURLや添付ファイルを開かない
3
SpeeCAN RAIDENを使う自治体・学校の担当者
ログインパスワードを変え、ログイン時の2段階認証を設定する。LINE・X・Facebookとの連携は案内に沿って設定し直す
4
全員
同じメールアドレスで使っているサービスのパスワードが使い回しなら、別々のものに変える

被害にあっているときの手順を見る →

漏れた可能性がある情報

SpeeCAN RAIDENでメールアドレス約3,136,000件、電話番号約105,000件、FAX番号約15,000件（推定）。全サービスが漏えいの可能性の対象。NET119は9,020件、119RAIDENはメールアドレス約97,000件、電話番号約17,000件、FAX番号約400件

含まれていないもの

クレジットカードなどの決済情報（扱っていない）。NET119の要配慮個人情報（既往歴など）。映像通報

いまの状況（続報中）

全サービスは10月15日15時10分に復旧。外部機関による脆弱性診断とダークウェブ調査を行っており、結果は後日報告するとしている

HOW THEY WERE HACKED

どんなハッキングをされた？

ひとことで

2026年10月11日、自治体の防災メールや学校の連絡に使われる一斉配信サービス「SpeeCAN RAIDEN」に第三者が不正にアクセスしました。運営するアルカディアは、メールアドレス約313万6千件などに漏えいの可能性があると発表しました（推定）。攻撃者が置いた裏口（バックドア）から、フィッシング詐欺とみられるメールが1,423,428通送られました。緊急通報の「NET119」や消防向けの「119RAIDEN」にも不正アクセスの跡が見つかり、10月下旬にはメール送信の機能を悪用した不正メールも再び送られています。

アルカディア・ SpeeCAN RAIDEN（スピーキャン・ライデン）などファイルの弱点から秘密の鍵を盗まれ、総当たりでログインされた不正アクセス

脆弱性とは →

STEP 1弱点から設定ファイルを取る
メディアサーバーの弱点（ディレクトリパストラバーサル）を使い、本来見られない設定ファイルを取られた
STEP 2鍵を使ってログイン
設定ファイルにあったサービスどうしのログイン用の秘密の鍵が漏れ、アカウントIDへの総当たりでログインされた
STEP 3内部の情報を取る
連絡先やメールアドレスなどの内部情報が取られた。データの一部も書き換えられた
STEP 4詐欺メールを送る
置かれた裏口から、フィッシング詐欺とみられるメール1,423,428通が外へ送られた

くわしい内容を見る ↓

DETAILS

くわしい内容

アルカディア

SpeeCAN RAIDEN（スピーキャン・ライデン）など

手口ディレクトリパストラバーサルは、サーバーの中の、本来は見られないファイルを読み出せてしまう弱点です。攻撃者はこの弱点で設定ファイル（config.ini）を取り、そこにあった秘密の鍵を使って、アカウントIDを総当たりで試してログインしました。さらにWordPressに不正なプラグインを入れ、裏口（バックドア）を置いて、大量の詐欺メールを送りました。

侵入: 10月11日6時26分にアクセス開始。16時39分に設定ファイルの取得に成功（10月23日の報告書）
発覚: 10月11日。報告書では23時40分にデータベースの異常な負荷から検知（ブログでは16時30分に不審な挙動を確認）
公表: 10月13日（第1報・第2報）。11月2日の第25報まで
影響の範囲: SpeeCAN RAIDENでメールアドレス約3,136,000件、電話番号約105,000件、FAX番号約15,000件（推定）。全サービスが漏えいの可能性の対象。NET119は9,020件、119RAIDENはメールアドレス約97,000件、電話番号約17,000件、FAX番号約400件
情報の種類: 連絡先の名前、メールアドレス、電話・FAX番号、担当者、契約情報、配信履歴の本文。NET119は名前、生年月日、性別、住所、電話番号、メールアドレス、FAX番号など
含まれないもの: クレジットカードなどの決済情報（扱っていない）。NET119の要配慮個人情報（既往歴など）。映像通報
不正メール: 10月13日1時17分〜7時16分に1,423,428通（うち少なくとも869,575通は会社が持つアドレス以外への送信）。10月22日〜23日にも、漏れたメール送信APIのアカウントを使った不正メール
いまの状況: 全サービスは10月15日15時10分に復旧。外部機関による脆弱性診断とダークウェブ調査を行っており、結果は後日報告するとしている

TIMELINE

時系列

10月11日SpeeCAN RAIDEN
6時26分に攻撃者がアクセス開始。16時39分に設定ファイルを取られる。夜にデータベースの異常から不正アクセスを検知
10月12日SpeeCAN RAIDEN
3時ごろに侵入経路をふさぐ。15時20分に個人情報保護委員会へ速報
10月13日SpeeCAN RAIDEN
1時17分〜7時16分に裏口から不正メールを大量に送られる。11時に一部のサーバーを緊急停止し、第1報・第2報を公表
10月14日NET119・119RAIDEN
NET119と119RAIDENにも不正アクセスの跡を確認（第4報）。raiden3のデータベースで改ざんを発見
10月15日SpeeCAN RAIDEN
改ざんされたデータを直し、15時10分に全サービスを復旧。利用者にパスワードの変更を依頼
10月16日NET119
漏えいの可能性がある件数を9,020件と確定（第11報）
10月21日SpeeCAN RAIDEN
不正メールの総数は1,423,428通と報告（第17報）
10月22日〜23日SpeeCAN RAIDEN
メール送信APIを悪用した不正メールが再び送られる。連携機能を止め、弱点をふさぐ。利用者に2段階認証の設定を依頼
10月23日SpeeCAN RAIDEN
説明資料と報告書を公開。個人情報保護委員会に代行報告
10月30日SpeeCAN RAIDEN
スマホサイトにログイン時の2段階認証の機能を追加（第24報）
11月2日SpeeCAN RAIDEN
10月22日〜23日の不正メールの原因と対応を報告（第25報）

RESPONSE

会社の対応と補償

遮断と停止

侵入経路をふさぎ、攻撃元のIPアドレスを遮断。一部のサーバーを約52時間止めて点検した

パスワードの変更

データベースのパスワードをサービスごとに分けて設定し直した。すべての利用者にログインパスワードの変更を依頼した

2段階認証

ログイン時の2段階認証の機能を用意し、利用者（自治体・学校など）に必ず設定するよう依頼した

弱点の点検

全サービスで脆弱性診断とコードレビューを行った。外部の会社による脆弱性診断とダークウェブ調査も行っている

監視の強化

各サービスの自動の監視を強め、SOC（攻撃を見張る専門の組織）の導入を考えている

関係機関への報告

個人情報保護委員会、総務省近畿総合通信局などへ報告し、警察と協議。契約する自治体などの代わりに個人情報保護委員会へ報告（代行報告）した

PROTECT YOUR COMPANY

同じことを自社で防ぐには

起きたことサーバーの弱点から設定ファイルを読まれた自社でできる対策外から触れるサーバーを定期的に診断し、弱点を早く直す脆弱性診断 →起きたこと秘密の鍵を使って総当たりでログインされた自社でできる対策管理用のログインには2段階認証を必須にし、鍵やパスワードを設定ファイルに置きっぱなしにしない多要素認証 →起きたこと検知までに約17時間かかった自社でできる対策サーバーやデータベースの動きを見張るSOCを置くSOC・MDR →起きたこと住民の連絡先を預けた委託先で漏えいした自社でできる対策委託先のセキュリティの体制と、事故のときの報告の流れを契約で確かめる取引先・委託先の対策 →

自社のセキュリティレベルを無料で診断する（18問・3分）

ABOUT THE COMPANY

どんな会社？

インターネットを使ったクラウド型のサービスを提供する会社で、地方自治体や官公庁を中心に2,000件以上で使われています。主な分野は防災・減災と消防で、日本語の音声合成の技術も持っています。

事業

災害情報の一斉配信（SpeeCAN RAIDEN）
文字による119番通報（NET119）
防災アプリ・地図での情報共有
音声合成

会社名: 株式会社アルカディア
設立: 1993年（平成5年）6月1日
本社: 大阪府箕面市桜井1丁目10番28号
代表者: 代表取締役社長天白成一
従業員: 53名（役員12名を含む）
資本金: 9,820万円

＋

くわしい記事

2026年10月13日自治体の防災メール配信「SpeeCAN RAIDEN」に不正アクセス。メールアドレス約313万件に漏えいの可能性

SOURCES

出典

このページは、会社の公式発表と適時開示だけをもとに作っています（2026年11月2日17時の公式発表（第25報）時点、2026年11月4日更新）。被害を受けた会社を責めるものではありません。誤りに気づいたらお問い合わせからお知らせください。

← ハッキング事例図鑑の一覧へ