防災情報などの一斉配信サービスを提供するアルカディア（大阪府箕面市）が不正アクセスを受けた問題で、影響が全国に広がっている。同社のサービス「SpeeCAN RAIDEN」は多数の自治体が防災メールの配信などに利用しており、メールアドレス最大約313万6,000件などが漏えいした可能性がある。10月20日には、栃木県警が全職員約3,900人分の情報が流出した恐れがあると明らかにするなど、各地の県警でも被害の可能性が相次いで判明した。
事案の詳細
報道によると、アルカディアは10月11日16時30分ごろに不審な挙動を確認し、13日11時から一部の環境を緊急停止した。同社が13日に公表した漏えいの可能性がある件数は、メールアドレス約313万6,000件、電話番号約10万5,000件、FAX番号約1万5,000件。いずれも調査段階での最大推定値で、実際に外部へ流出したと確認された件数ではない。同社は15日に続報を出し、調査を続けている。
SpeeCAN RAIDENは、報道により700以上から約800の自治体が利用しているとされ、防災情報や安全情報のメール配信が止まった自治体も出ている。さいたま市、横須賀市、新潟県上越市、島根県なども、登録者の情報に漏えいのおそれがあると公表した。
同社のシステムは災害時の安否確認にも使われており、警察職員の情報も対象になった。各県警が明らかにした、流出の恐れがある職員数は次の通り（ITmedia NEWSが10月20日時点の各社報道をまとめたもの）。
- 神奈川県警：約1万7,000人のうち約1万6,000人
- 愛知県警：約1万5,000人
- 埼玉県警：約1万3,000人
- 福岡県警：約1万1,000人
- 広島県警：約5,700人
- 栃木県警：全職員約3,900人
- 群馬県警：約3,700人
- 香川県警：約2,400人
栃木県警では、職員の氏名、所属、職名、携帯電話番号、メールアドレスが対象で、電話番号とメールアドレスには一部私用のものも含まれる。県警は13日にアルカディアから連絡を受け、同日中にシステムの運用を中止した。いずれの県警も、10月20日時点で不正利用は確認されていないとしている。侵入経路や攻撃者は公表されていない。
影響と背景
本件は、一つの委託先サービスへの不正アクセスが、全国の自治体の住民向け防災メールと、複数の県警の職員情報に一度に波及した事案である。登録者から見れば「市の防災メールに登録した」「職場の安否確認システムに登録した」だけであり、その裏側でどの事業者のサービスが使われているかを意識する機会はほとんどない。
漏えいの可能性がある情報は、メールアドレスや電話番号といった連絡先が中心だ。単体では重い情報ではないが、「防災メールに登録している住民」「警察職員」という属性と結び付くと、自治体や警察を装ったフィッシングメール、警察職員を狙った不審な接触などに悪用されるおそれがある。また、災害時に防災メールが届かない状態が続けば、住民の安全にも関わる。
委託先や外部サービスを経由した情報漏えいの構造は「一つの侵入が何十社にも波及する――サプライチェーン経由の情報漏洩が急増する理由」で解説している。
対策・今後の展望
- 登録者の方へ：自治体や警察、アルカディアを名乗るメール・SMSのリンクから個人情報やパスワードを入力しない。登録先の自治体の公式サイトで案内を確認する。防災情報は、自治体の公式サイトや防災アプリ、テレビ・ラジオなど複数の手段で受け取れるようにしておきたい。
- 同様のサービスを利用する組織の方へ：一斉配信や安否確認などの外部サービスに、どの範囲の個人情報を登録しているかを棚卸しする。私用の連絡先を登録させている場合は、その必要性も見直す。
- 委託先の事故に備える：委託先から事故の連絡を受けたときに、利用停止、登録者への周知、個人情報保護委員会への報告を誰が判断するかを、あらかじめ決めておく。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが支援する中小企業や団体でも、安否確認サービスや一斉メール配信サービスに、従業員の私用の携帯番号やメールアドレスを登録している例は珍しくありません。こうしたサービスは「緊急時に使うもの」として導入後は見直されにくく、登録情報が何年分も残っていることがあります。
【平易な解説】町内の連絡網を、ある会社にまとめて預けていたところ、その会社の金庫が破られた、という状況です。連絡網の名簿そのものは重い情報ではなくても、「この人は警察職員」「この人はこの町の住民」という情報が加わると、悪用の手口を考えやすくなります。
【今週中にできること】自社で使っている安否確認・一斉配信サービスを確認し、登録している項目と人数、退職者のデータが残っていないかを点検してください。あわせて、サービス提供会社に事故時の連絡体制と、データの保管場所・保管期間を確認しておくと、万一のときに初動を早められます。
参照: ITmedia NEWS（10月20日） ／ 共同通信（自治体のサービス停止） ／ IT トレンド（さいたま市・横須賀市など）