自治体の防災メール配信「SpeeCAN RAIDEN」に不正アクセス。メールアドレス約313万件に漏えいの可能性

01発表されている事実

1. 10月11日 16時30分

   SpeeCAN RAIDENで不審な挙動を確認

2. 10月12日 3時ごろ

   侵入経路を塞ぐ応急措置

3. 10月13日 1時17分〜7時16分

   不正プログラムにより詐欺の内容のメールを配信。総数1,423,428通（うち少なくとも869,575通は同社が保有するアドレス以外への送信。第17報）

4. 10月13日

   第1報・第2報。一部サーバーの利用者向けサービスを緊急停止、漏えい可能性の件数（推定）を公表

5. 10月14日

   緊急通報の「NET119」「119RAIDEN」でも不正アクセスの形跡を確認（第4報）

6. 10月15日

   個人情報保護委員会へ報告済みと公表。停止していたサーバーを復旧し、全利用者にパスワード変更を依頼

7. 10月22日〜23日

   利用者（自治体など）にログイン時の2段階認証の設定を依頼。説明資料と報告書を公開

漏えいの可能性がある情報は、連絡先の名前、メールアドレス、電話・FAX番号、担当者、契約情報、配信履歴の本文などで、決済情報は扱っていないとしています。NET119については、要配慮個人情報は漏えいしていないことを確認したと発表しています（第11報）。

北九州市は10月14日、市の「災害情報自動配信サービス」の登録者は氏名・メールアドレス・電話番号・FAX番号、「もらって安心災害情報配信サービス」の登録者はメールアドレスに漏えいの可能性があると案内しました。

02読者への影響

自治体の防災メールや学校・園の連絡メール、緊急通報サービスに登録している人は、対象かもしれません。自分の住む自治体のサイトで、SpeeCAN RAIDENを使っているか、どのサービスが対象かを確かめてください。漏えいしたのが「防災メールに登録している」という事実と結びついたアドレスなので、自治体や防災を名乗る偽メールが届きやすくなります。

03今すぐやること

1. 自治体・学校・防災を名乗るメールでも、ログインや支払い、個人情報の入力を求めるものはリンクを開かない。自治体の公式サイトから確かめる
2. 心当たりのない電話・FAX・SMSにも注意する
3. 同じメールアドレスで使っているサービスのパスワードが使い回しなら、別々のものに変える

04委託している組織がすること

住民の連絡先を預ける配信サービスは、自治体や学校にとっての「委託先」です。管理画面の2段階認証、委託先の脆弱性対応の体制、事故が起きたときの報告の流れを、契約の時点で確かめておくことが大切です。図鑑の「取引先から対策を求められた」の入口では、委託先管理で確認する項目と、頼める会社を探せます。迷惑メールの入口を絞るには「メールセキュリティ・訓練」も参考になります。

防災メール以外の情報の受け取り方や警戒レベルの意味は、防災サイト「bichiku」のはじめての防災にまとまっています。

05今後の発表

アルカディアは、個人情報保護委員会への代行報告への回答を10月中に見込み、回答があり次第知らせるとしています（10月26日、第23報）。