事案の概要データ
| 公表日 | 2026年10月13日 |
|---|---|
| 不審挙動の検知 | 2026年10月11日 |
| 応急遮断 | 2026年10月12日 |
| 侵入経路の判明・一部サービス緊急停止 | 2026年10月13日 |
| SpeeCAN RAIDEN（推定最大） | メール 約313.6万件／電話 約10.5万件／FAX 約1.5万件 |
| NET119 | 約1.3万件 |
| 119RAIDEN（推定最大） | メール 約9.7万件／電話 約1.7万件／FAX 約400件 |
| 波及した自治体の例 | 香川県 約25,566件、宮崎県 38,959件、さいたま市 34,856件、横須賀市 58,920件、秋田市・唐津市・上越市（件数調査中）ほか |
| 注意 | アルカディア側の推定最大件数と各自治体の登録件数は、重複の可能性があるため合算できない |
| 土佐市（10月17日公表） | 119RAIDEN：消防本部職員・市役所関係部局職員・消防団員 最大380名分／NET119：県内の登録者とその家族 最大300名分 |
| 原因（10月19日の経過報告で判明） | 添付ファイル用メディアサーバーのディレクトリトラバーサルの脆弱性。内部ソースと設定ファイルからサービス間ログイン用のシークレットキーを取得され、アカウントIDへの総当たり攻撃とセッションからの内部情報取得が行われた |
| 脆弱性の修正 | 2026年10月12日 |
| 全サービス復旧 | 2026年10月15日 15時10分 |
| 件数の訂正 | NET119のメールアドレスを約13,000件から9,020件へ変更（10月16日 第11報、10月19日も維持） |
| 警察関係への影響（報道ベース） | 栃木県警 全職員約3,900人分の流出の可能性（下野新聞）。全国では22府県警・職員情報 約12万5,000件のおそれとの報道もあり、集計範囲が異なるため合算しない |
| フィッシングメールの不正配信（第15〜17報） | 2026年10月13日に1,423,428通が不正配信された。うち少なくとも869,575通は自社保有アドレス宛ではないと説明。配信通数を漏えい件数・人数に読み替えない |
図解：この事故の構造
何が起きたのか
アルカディアは2026年10月13日、緊急情報配信システム「SpeeCAN RAIDEN」などが第三者による不正アクセスを受けたことを公表しました。10月11日に不審な挙動を検知し、12日に応急的な遮断を実施、13日に侵入経路が判明して一部サービスを緊急停止しています。
影響は同社にとどまりませんでした。このシステムを使っていた全国の自治体が、同じ10月13日に相次いで公表しています。香川県（防災情報メール等 約25,566件）、宮崎県（防災・防犯情報メール 38,959件）、さいたま市（防災行政無線メール等 34,856件）、横須賀市（防災・防犯の4サービス 計58,920件）、秋田市、唐津市、上越市などです。
NET119（聴覚や発話に困難がある方が119番通報するための仕組み）や119RAIDENも対象に含まれています。
「災害時に使う仕組み」が止まる意味
この事案が他と異なるのは、止まったのが災害時の情報伝達システムだという点です。
防災メールは、地震・大雨・避難指示といった、住民の生命に直結する情報を届けるために使われます。平常時は目立ちませんが、災害が起きた瞬間に最も必要になる仕組みです。
さらにNET119は、聴覚や発話に困難がある方が緊急通報を行うための手段です。電話で話すことが難しい方にとって、代替手段が限られます。
情報漏えいの件数だけを見れば数万件規模ですが、「使えなくなること」の意味が他の事案とは異なります。
自治体に共通するサプライチェーンの構造
住民から見れば「市役所の防災メールから情報が漏れた」という事案です。しかし攻撃されたのは市役所ではなく、そのシステムを提供していた民間企業です。
自治体は、防災メール、図書館システム、税務システムなど、多くの業務を外部の事業者に委託しています。そして小規模な自治体ほど、同じ事業者のパッケージを共同で使う傾向があります。効率的ですが、1社が破られると全国の自治体に同時に影響が及びます。
2026年はこの構図が繰り返されました。4月のYCC情報システム（複数自治体・約51万件）、9月の両毛システムズ（伊勢崎市ほか）、そして今回のアルカディアです。
中小企業でも、業界共通のパッケージやクラウドサービスを使っている場合は同じ構造です。「同業他社と同じシステムを使っている」ということは、「同じ脆弱性を共有している」ということでもあります。
件数を足し算できない理由
アルカディアが示した推定最大件数と、各自治体が公表した登録件数は、重複している可能性があります。同じ住民が複数の自治体サービスに登録していることもあれば、アルカディア側の件数に自治体分が含まれていることもあります。
そのため、これらを合算して「被害総数」とすることはできません。報道で複数の数字が並んでいるときは、それぞれが何を数えたものかを確認する必要があります。
NET119の登録者情報まで対象に
2026年10月17日、土佐市が公表しました。119RAIDEN（災害連絡メール）で消防本部職員・市役所関係部局職員・消防団員の最大380名分、そしてNET119で県内の登録者とその家族の最大300名分に漏えいの可能性があるとされています。
NET119は、聴覚や発話に困難がある方が119番通報を行うための仕組みです。対象となる情報には氏名・生年月日・性別・住所・連絡先が含まれます。
この登録者名簿は、「その地域で聴覚や発話に困難を抱えている方」を特定できる情報でもあります。通常の個人情報とは異なる配慮が必要なデータです。
なお300名は県内が対象であり、土佐市民のみの人数ではありません。また380名・300名・アルカディア本体・他自治体の件数は、それぞれ合算できません。
原因が公表された——鍵が置かれていた
2026年10月19日の経過報告で、侵入の経路が明らかになりました。
入口は、添付ファイル用のメディアサーバーにあった「ディレクトリトラバーサル」という脆弱性です。これは、本来アクセスできないはずの上の階層のファイルを、パスの指定を工夫することで読み出せてしまう弱点を指します。
攻撃者はこれを使って内部のソースコードと設定ファイルを読み出し、そこに書かれていた「サービス間ログイン用のシークレットキー」を取得しました。そのうえでアカウントIDへの総当たり攻撃を行い、セッションから内部情報を取得したとされています。
教訓は明確です。設定ファイルに鍵を直接書いていたために、ファイルを1つ読まれただけで認証を突破されました。2026年5月のマネーフォワード、4月のCAMPFIREでも、ソースコードや設定に書かれた認証情報が問題になっています。
鍵は設定ファイルに書かず、専用の管理サービス（シークレットマネージャ）に置く。中小企業でも、外注先に「設定ファイルにパスワードを直書きしていませんか」と一度聞いてみる価値があります。
警察組織にも影響が及んだ
2026年10月20日、栃木県警の内部連絡システムで全職員約3,900人分の個人情報が流出した可能性があると報じられました。同システムもアルカディアに委託されていたためです。
報道では、全国で22府県警・職員情報 約12万5,000件のおそれとするものもあれば、10県警・約7万4,800人とするものもあり、集計の範囲が異なります。これらは合算できません。
警察職員の氏名・連絡先は、通常の個人情報とは異なる配慮が必要なデータです。職務の性質上、個人が特定されることで本人や家族の安全に関わる可能性があります。
緊急情報配信という1つのサービスが、自治体の防災メール、消防のNET119、そして警察の内部連絡と、公共性の高い領域に広く使われていたことが、この事案の影響範囲を決めました。
なお10月21日9時05分の第14報は、代理店向けの総務省報告に関する案内であり、新たな確定件数の発表ではありません。
142万通のフィッシングメールが配信されていた
2026年10月21日の第15〜17報で、新たな事実が公表されました。2026年10月13日に、この配信システムから1,423,428通のフィッシングメールが不正に配信されていたというものです。
うち少なくとも869,575通は、自社が保有するアドレス宛ではないとされています。つまり攻撃者が持ち込んだ宛先リストに対して、このシステムが送信に使われたことになります。
緊急情報配信システムは、自治体の防災メールを送るための仕組みです。受信者から見れば、自治体からのメールとして届きます。そこにフィッシングメールが混ざれば、見破るのは極めて困難です。
情報が盗まれただけでなく、配信の仕組みそのものが攻撃の道具として使われた——これは2026年10月の事案のなかでも特異な被害の形です。
なお、配信通数は漏えい件数や人数とは別のものです。142万通という数字を漏えい件数と読み替えることはできません。
時系列で見る経過
- 2026年10月11日アルカディアが不審な挙動を検知
- 2026年10月11日 16時30分秋田市が、運用管理委託業者のシステムで第三者の不正アクセスを確認
- 2026年10月12日アルカディアが応急的な遮断を実施
- 2026年10月13日侵入経路が判明し、一部サービスを緊急停止。アルカディアが公表
- 2026年10月13日香川県・宮崎県・さいたま市・横須賀市・秋田市・唐津市・上越市などが相次いで公表
- 2026年10月17日土佐市が公表。119RAIDENで最大380名分、NET119で県内の登録者とその家族 最大300名分に漏えいの可能性
- 2026年10月12日ファイルサーバーの脆弱性を修正
- 2026年10月15日 15時10分全サービスが復旧
- 2026年10月16日第11報。NET119のメールアドレスを約13,000件から9,020件へ訂正
- 2026年10月17日土佐市が公表。119RAIDENで最大380名分、NET119で県内の登録者と家族 最大300名分
- 2026年10月19日経過報告で侵入経路を公表。ディレクトリトラバーサルの脆弱性からシークレットキーを取得され、総当たり攻撃が行われたと説明
- 2026年10月20日栃木県警で全職員約3,900人分の個人情報が流出した可能性があると報じられる
- 2026年10月21日 9時05分第14報。代理店向けの総務省報告の案内であり、新たな確定件数の発表ではない
- 2026年10月21日 第15〜17報SNS連携の再設定、一部サービスのFAX・放送連携・添付機能の制限を案内。10月13日に不正配信したフィッシングメール1,423,428通のうち、少なくとも869,575通は自社保有アドレス宛ではないと説明
解決までの道のり
10月11日の検知から1日で応急遮断、12日に脆弱性を修正し、15日15時10分に全サービスを復旧させました。19日の経過報告では侵入経路まで公表しており、全国の自治体に波及した事案としては迅速な着地です。
対応の流れ
- 2026年10月11日不審な挙動を検知
- 2026年10月12日応急的な遮断を実施。ファイルサーバーの脆弱性を修正
- 2026年10月13日侵入経路が判明し、一部サービスを緊急停止。公表
- 2026年10月15日 15時10分全サービスが復旧
- 2026年10月16日第11報。NET119の件数を約13,000件から9,020件へ訂正
- 2026年10月19日経過報告で侵入経路（ディレクトリトラバーサル→シークレットキー取得→総当たり攻撃）を公表
解決できたポイント／残った課題
- 検知の翌日に応急遮断と脆弱性修正を完了させた
- 検知から4日で全サービスを復旧させた。災害用の仕組みとして空白期間を最小化した
- 件数を増やす方向だけでなく、精査により減らす方向の訂正も行った（NET119）
- 侵入経路を具体的に公表し、同種のシステムを持つ事業者が学べる形にした
- 一方で、設定ファイルに鍵を直書きしていたことが突破の決め手になった
- 一方で、全国の自治体へ波及し、各自治体での確認・公表の負担は大きかった
中小企業が学ぶべきポイント
- 設定ファイルに鍵やパスワードを直書きしない。1つ読まれれば認証が突破される。
- ディレクトリトラバーサルは古典的な脆弱性。ファイルを扱う機能は必ず診断する。
- 業界共通のパッケージやクラウドを使うことは、同じ脆弱性を共有することでもある。
- 災害時に使う仕組みは「止まったときの代替手段」を決めておく。
- 複数の組織が公表する件数は重複している可能性がある。合算して被害総数としない。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。