事案の概要データ
| 公表日 | 2026年10月26日（報道） |
|---|---|
| 対象 | 情報配信サービスに登録された全メールアドレス |
| 件数 | 非公表（報道に記載なし） |
| 原因 | 不正アクセス（手口は報道に記載なし） |
| 注意 | 当事者の公表原文は未確認。報道ベースの情報として扱う |
図解：この事故の構造
何が起きたのか
2026年10月26日、一関市の情報配信サービスに不正アクセスがあり、登録された全メールアドレスが対象になったと報じられました。
件数は公表されていません。侵入の手口も示されていません。
本記事の時点では当事者の公表原文を確認できていないため、報道にもとづく内容です。
「登録された全メールアドレス」という表現
注目したいのは、件数ではなく「登録された全メールアドレス」という表現です。
一部ではなく全部。これは、配信先リストそのものが取られた、あるいは取られた可能性が否定できないという意味です。
自治体の情報配信サービスは、防災情報、不審者情報、イベント案内、ごみ収集日の通知などを市民のメールアドレスに届ける仕組みです。登録しているのは、その自治体に住んでいる人です。
つまり、流出したリストは「一関市の市民のメールアドレス一覧」として使えます。攻撃者がこれを使えば、一関市を装ったメールを送れます。「一関市からのお知らせ」として届いたメールを、登録者は疑いにくいでしょう。
自治体からの通知を装ったフィッシングは、すでに手口として確立しています。給付金、税金の還付、マイナンバーの手続き。どれも「市役所から来た」と思えば開いてしまいます。
2026年10月、自治体の配信基盤が続けて狙われた
2026年10月は、自治体やその委託先のメール配信基盤の事案が続きました。
10月13日のアルカディア「SpeeCAN RAIDEN」は、自治体の防災メールなどで使われており、約313.6万件規模の事案になりました。10月25日のイグレックス「ワイメール」では、福島県双葉町、新潟県南魚沼市などが影響を公表し、南魚沼市では登録者のアドレス宛に実際にフィッシングメールが送信されています。
そして本件です。自治体の情報配信は、委託先のサービスを使っていることが多く、自治体自身がシステムを持っているわけではありません。
攻撃者から見れば、1つの配信サービスに入れば複数の自治体の市民リストが手に入ります。効率がよい標的です。
情報配信を委託している組織がやること
自治体に限らず、メール配信を外部サービスに任せている組織（商工会、組合、学校、企業）は、次を確認してください。
1. どのサービスを使っているかを把握する。 担当者が代わって、契約先が分からなくなっているケースがあります。
2. 預けている配信先リストを減らす。 配信を止めた人、退会した人のアドレスがリストに残っていませんか。消してください。預けている件数が少なければ、漏れる件数も少なくなります。
3. 管理画面に多要素認証をかける。 配信サービスの管理画面に、IDとパスワードだけで入れる状態になっていませんか。
4. 登録者に「当組織を装うメールに注意」と案内する準備をしておく。 事故が起きたとき、自分が攻撃されていなくても、登録者には自分の名前のメールが届きます。文面を平時に用意しておけば、当日すぐ出せます。
時系列で見る経過
- 2026年10月26日情報配信サービスに登録された全メールアドレスが対象と報じられる
- （調査中）件数、侵入の手口は公表されていない
中小企業が学ぶべきポイント
- 「登録された全メールアドレス」は、配信先リストそのものが取られた可能性を意味する。
- 自治体の配信リストは「その市の市民のメールアドレス一覧」として、自治体を装うフィッシングに使える。
- 2026年10月はアルカディア、ワイメール、本件と、自治体の配信基盤の事案が続いた。
- 配信を止めた人・退会者のアドレスはリストから消す。預ける件数が少なければ漏れる件数も少ない。
- 配信サービスの管理画面に多要素認証をかける。
- 「当組織を装うメールに注意」の案内文を平時に用意しておけば、事故当日に出せる。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。