TL;DR
- 01何が起きたか
自治体の防災メールや災害時の電話・FAX 連絡に使われる配信基盤「SpeeCAN RAIDEN」が、2026 年 10 月 11 日に第三者の不正アクセスを受けた。運営するアルカディアは、メールアドレス最大約 313.6 万件などが漏えいした可能性があると公表した。公表と前後して、防災メールと同じ
@raiden.ktaiwork.jpを送信元に含む、クレジットカード会社を装ったメールが登録者に届いている。不正アクセスとの関係は確定していない。 - 02なぜ見分けられないか
受け取った人に残された手がかりは、送信者名と送信元アドレスの見た目だけで、そのアドレスは本物の防災メールと同じドメインだった。静岡市は、防災メールの送信元をブロックすると本物の防災情報も届かなくなると注意している。
- 03欠けていた層
検出は効いていた。アルカディアは不審な動きを検知し、翌日未明に侵入経路を応急措置で塞いだ。効かなかったのは、届いた通知が自治体の発したものかを、送信元の表示とは別に確かめる層である。
何が起きたか
- システム
- SpeeCAN RAIDEN。アルカディア(大阪府箕面市)が運営する一斉配信の基盤で、自治体の防災メールや、携帯電話を持たない住民向けの電話・FAX 配信などに使われている。10 月 14 日の続報で、消防向けの 119RAIDEN と、聴覚や言語に障害のある人がスマートフォンから 119 番通報する NET119 にも、不正アクセスの形跡が見つかったと公表された。
- 漏えいの可能性がある情報
- SpeeCAN RAIDEN は連絡先の名前、メールアドレス、電話・FAX 番号、担当者、契約情報、履歴に保存された配信本文(SpeeCAN RAIDEN では決済情報は扱っていないとされる)。NET119 は利用者の名前、生年月日、性別、住所、電話番号、メールアドレス、FAX 番号など。
- 最大推定の件数
- SpeeCAN RAIDEN はメールアドレス約 313.6 万件、電話番号約 10.5 万件、FAX 番号約 1.5 万件。NET119 は約 1.3 万件、119RAIDEN はメールアドレス約 9.7 万件など。アルカディアは「あくまでも推定値」としている。
- 自治体側
- 静岡市は、防災メールの市民 34,336 人分のメールアドレスと、市職員 6,915 人分の氏名・職員番号・所属名が漏えいしたことが判明したと公表した(アルカディアは漏えいを可能性としている)。さいたま市は 34,783 件、横須賀市は防災・防犯メールなど 4 つのサービスで計約 5.9 万人分を漏えいの可能性として挙げた。岡山市は、防災メール約 4,500 件に加え、職員の参集連絡用の約 5,000 件とダム放流の通知先約 350 件が登録されているとした。
- 偽メール
- 静岡市によれば、件名は「＜重要＞ご利用確認のお願い」、送信者名は実在のクレジットカード会社、送信元アドレスは「〇〇@raiden.ktaiwork.jp」。市は「@raiden.ktaiwork.jp」を防災メールで使う正しい送信元アドレスの一部と説明し、届いたメールはそれを悪用したなりすましだとしている。本件と関連している可能性があるメールという位置づけである。松本市・横須賀市にも登録者から同様の通報が寄せられたが、松本市は不正アクセスとの関係は現時点で不明としている。
- 侵入の経路
- アルカディアは第 2 報で「外部からの不正な侵入経路が判明」したとし、侵入経路になっていた 2 つのサービス(SpeeCAN RAIDEN の raiden3.ktaiwork.jp と、学校向けのライデン・スクールの s2.ktaiwork.jp)を緊急停止した。アクセス元の IP アドレスは拒否する設定にした。第 9 報では、システム内に不正なプログラムが無いことを確認し、「脆弱性につきましても随時対応を進めております」としている。どの脆弱性が使われたのか、ログイン情報が盗まれたのかなど、侵入の手口そのものは公表されていない。
用語メモ
送信元ドメイン — メールアドレスの「@」より後ろの部分。今回の偽メールは、防災メールと同じ raiden.ktaiwork.jp を使っていた。
送信ドメイン認証 — SPF・DKIM・DMARC など。届いたメールが、そのドメインの正規の送信経路から来たかを確かめる仕組みで、誰が書いたかまでは確かめない。
欠けていたのは ④ の時点で、届いた通知が自治体のものかを確かめる手段。③ がどう送られたか（基盤から送られたのか、外から送信元を偽ったのか）は公表されていない。
防災メールや電話・FAX の配信に使う。
登録者の連絡先が外に出た可能性が生じる。
公表と前後して届いた。不正アクセスとの関係は確定していない。
送信元アドレスは、本物の防災メールと同じドメイン。
時系列 — 公表と対応
- 16:30、アルカディアが、不正アクセスが疑われる不審な挙動を確認。
- 3:00 ごろ、侵入経路を塞ぐ応急措置を取り、影響範囲の調査を開始。
- 10:30 ごろ、アルカディアが、不正アクセスと個人情報漏えいの可能性を発表(さいたま市の公表による)。11:00 から SpeeCAN RAIDEN の一部を緊急停止。
- 12:50、送信元アドレスにシステム名の文字列が入った不審メールを受け取ったと、市民がさいたま市に問い合わせ。市は 12:52 にアルカディアに確認し、不正アクセスを知った。横須賀市も、登録者からの不審メールの問い合わせを受けてアルカディアに確認している。
- 夕方、アルカディアが第 2 報で、侵入経路が判明したとし、経路になっていた 2 つのサービスの緊急停止と、アクセス元 IP の遮断を報告。
- アルカディアが、登録者への注意喚起の文例を自治体に提供。15:00 に NET119 と 119RAIDEN の形跡を公表。静岡市はなりすましメールの具体例を公表し、市長が臨時記者会見を開いた。
- アルカディアが、個人情報保護委員会への報告と、警察や総務省の地方局などへの相談・通報を公表。15:00 ごろ停止していたサーバが復旧し、利用者にログインパスワードの変更を求めた。漏えいの範囲は引き続き調査中。
- アルカディアが第 11 報で、侵入経路は遮断済みで、サービスは通常どおり使えるとした。個人情報保護委員会への報告は、契約先に代わって同社がまとめて行う準備を進めている(第 10 報)。
本件の事実は、アルカディアの続報(第 1 報〜第 11 報)と、さいたま市・静岡市・横須賀市・岡山市・松本市・森町の公表に拠る。侵入の手口と、実際に取得された情報の範囲は、執筆時点で公表されていない。件数は最大推定である。偽メールがどの経路から送られたか(基盤そのものから送られたのか、送信元を偽って外から送られたのか)も、公表されていない。一次資料は運営事業者と利用自治体の自己公表のみで、独立した第三者による調査結果は公表されていない。影響を受けた自治体の総数はアルカディアの公表に記載がない(共同通信は、利用自治体を約 800 とするアルカディアの説明を報じている)。
公表後の対応
- 配信の停止: 共同通信によれば、総務省は 13 日午後 9 時時点で 36 自治体がサービスを停止したと明らかにした。横須賀市は防災・防犯メールなど 4 つのサービスを止め、市の SNS や防災行政無線で代わりに発信するとした。岡山市は、停止中は防災メールの登録者への気象・避難情報や、職員への一斉連絡が送れないとした。
- 登録者への注意喚起: 各自治体は、不審なメールの URL や添付ファイルを開かないよう呼びかけた。静岡市は、市が
@raiden.ktaiwork.jpから送るのは防災情報だけだとしたうえで、不審メールの送信元をブロックしたり迷惑メールに設定したりすると、市の防災情報も届かなくなると注意している。 - 届出: アルカディアと横須賀市が、個人情報保護委員会への報告を公表している。
なぜ止まらなかったか
この事案の失敗は、侵入を許したことだけでも、注意喚起が遅れたことでもない。届いた通知が自治体の発したものかを、送信元の表示とは別に確かめる層が無かったことにある。
防災メールの本物らしさは、送信元のドメインという一つの表示に預けられていた。
検出は効いていた。アルカディアは不審な挙動から半日足らずで侵入経路を応急措置で塞ぎ、さいたま市は住民の問い合わせから 2 分で事業者に確認を取った。効かなかったのは、その手前である。防災メールの「本物らしさ」は、送信元のドメインという一つの表示に預けられていた。そのドメインを含む偽メールが届いた時点で、受け取った人が本物と偽物を分ける材料は無くなる。静岡市の注意書きがこの構造を示している。偽メールを防ぐために送信元をブロックすれば、本物の防災情報も一緒に止まる。
防災メールは、受け取った人がすぐに動くことを前提にした通知である。避難情報、職員の参集、ダム放流の連絡は、真偽を確かめる時間が短い。今回の偽メールはカード会社を装っていた。しかし同じドメインから届く限り、自治体の避難情報を装う偽メールも、見た目では区別できない。
「@raiden.ktaiwork.jp」は、静岡市防災メールで使用している正しい送信元アドレスの一部です。しかし、今回確認されたメールは、これを悪用したなりすましメールであり、クレジットカード会社から送信されたものではありません。 — 静岡市
同じ構造は、これまでの Brief にも現れている。Photo ZIP では、正規の配信基盤を経由したメールが SPF・DKIM・DMARC をすべて通過した。メール認証は送信経路を確かめるが、誰が書いたかは確かめない。Revolut では、国の認証メール網から届いた開示要求が、経路の正しさを理由に通った。どちらも、届いた経路の正しさが、書いた主体の正しさの代わりに使われていた。今回の偽メールの経路は公表されていないが、送信元の表示を本物と見なすほかない点は同じである。
対策するには
今回の手口は、送る側と受け取る側に仕組みがあれば見分けられる。届いた通知に自治体が発したことの証明が付いていて、受け取った人がそれを確かめられれば、送信元の表示が本物と同じでも偽物と分かる。ただし、その仕組みは、配信を委託している自治体の側と、受け取る人の手元の両方に要る。今日すぐに足せるのは、本物の通知を確かめる場所を一つ決めて、登録者に知らせておくことである。偽の通知が出回ったときに、送信元をブロックさせずに、そこを見るよう案内できる。
注意したい業界・業務
- 業界自治体・公共
- 防災情報や避難の呼びかけ、職員の参集連絡を、委託先の一斉配信サービスで送る自治体。受け取る人は、すぐに動くことを求められる。
- 業界金融・FinTech
- 取引の通知や本人確認の連絡を、外部の配信サービスを通してメールや SMS で送る事業者。同じドメインから届く偽の通知は、見た目では区別できない。
- 業務配信・送付
- 登録者や顧客への一斉配信を、外部の基盤に委託する業務。基盤のドメインやアドレスが、そのまま「本物らしさ」の根拠になっている。
同じ穴は、防災メールに限らず、外部のサービスから自分たちの名義で一斉に通知を送る多くの組織にある。ドメインやアドレスの見た目が本物と同じなら、受け取る人には区別がつかない。
いまの対策で防げるか
| 対策 | 今回 | 理由 |
|---|---|---|
| 送信ドメイン認証（SPF・DKIM・DMARC） | 一部 | 送信元を偽って外から送られた偽メールなら、ドメイン側の設定しだいで、受信側が迷惑メールに振り分けたり拒否したりできる。基盤そのものから送られた場合は、正規の経路として通る。今回の送り方は公表されていない。 |
| 送信元のブロック・迷惑メール設定 | 効かない | 偽物と一緒に、本物の防災情報も止まる。静岡市が注意しているとおりである。 |
| 不審なメールの URL や添付を開かないよう呼びかける | 一部 | 今回のようにカード会社を装う内容なら、防災メールらしくないと気づける可能性がある。自治体の避難情報を装う偽メールは、見た目では区別できない。 |
| 配信サービスの停止 | 一部 | 基盤から出る配信は止まるが、本物の防災情報も止まる。外から送信元を偽った偽メールには効かない。 |
- 通知に、自治体が発したことの証明を付ける。自治体が、配信する通知の一通ごとに、自らの鍵で発行元の証明を付ける。鍵は配信基盤に預けないので、基盤のドメインやアドレスを使えても、証明は作れない。発行日時と宛先も証明に含め、過去の本物の通知を送り直しても通らないようにする。
- 受け取る人が、動く前に確かめられる場所を用意する。公式アプリや確認ページで、届いた通知の証明を照合できるようにする。照合できない通知は、送信元の表示が本物と同じでも「自治体のものではない」と示す。偽物を避けるために、送信元ごと止める必要がなくなる。
- 配信の指示を許可の範囲と照合し、何を確かめて送ったかを残すよう、委託先に求める。基盤に届く配信の指示が、対象の登録者・種別・件数の範囲内かを送る前に確かめ、範囲外は送らない。照合の結果は、基盤が侵害されても書き換えられないよう、基盤の外で確かめられる形で残す。
自分たちの名義の通知を、外部のサービスから送っている組織で確かめる 3 項目
- 自分たちの名義の通知を、どの外部サービスから、どのドメインで送っているか。そのサービスが侵害されたとき、受け取った人は本物と偽物をどう見分けるか。
- 配信サービスに、誰が、どの範囲の配信を指示できるか。範囲外の一斉配信を、送る前に止められるか。
- 偽の通知が出回ったとき、送信元をブロックさせずに、本物を確かめる方法を登録者に案内できるか。
注：証明が示すのは、通知が登録された発行元から出たことまでで、基盤への侵入や連絡先の流出そのものは防がない。また、受け取る人が照合の手段を持たなければ、通知はこれまでどおり見た目で判断される。
Sources
- 一次・運営事業者アルカディア「SpeeCAN RAIDENへの不正アクセスに伴う一連の対応について」
- 一次・自治体公表静岡市「【不審なメールにご注意ください】災害時の情報収集への備え」
- 一次・自治体公表さいたま市「（令和8年10月13日発表）防災情報配信システムの不正アクセスに伴う個人情報漏洩の可能性発生について（第1報）」
- 一次・自治体公表横須賀市「横須賀市防災情報メール及び防犯あんしんメール配信サービス等における不正アクセスに伴う個人情報の漏えいのおそれについて」
- 一次・自治体公表岡山市「災害時一斉情報配信サービス運営事業者への不正アクセスによる個人情報漏洩の可能性について」
- 一次・自治体公表松本市「【注意喚起】松本安心ネットメールシステムへの不正アクセスについて」
- 一次・自治体公表森町消防本部「不正アクセスに伴う個人情報漏洩の可能性について（NET119緊急通報サービス）」
報道・解析 1 件
- 報道共同通信「36自治体がサービス停止 防災情報の不正アクセス影響」
参照: 事後の検知が証明にならない論点は「AI時代のサイバー防衛に残された、最後の層」。