チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「自治体の防災メールに登録しているけど、自分のアドレスも漏れたの？」
「災害情報を送る仕組みが止まったら、どうやって情報を受け取ればいいの？」
チップスボス、防災メールの配信システムが不正アクセスされたって本当でしゅか！？
ボスアルカディアの「SpeeCAN RAIDEN」だ。多くの自治体が使う配信基盤で、メールアドレスだけで最大約313万6000件が漏えいした可能性がある。
チップス防災メールが止まったら、地震のときに困るでしゅ……。
ボスそこが今回の厄介なところだ。情報漏えいと、防災の情報が届かなくなる問題が同時に起きている。
SpeeCAN RAIDENは、災害情報などをメールや電話、ファックス、SNSで一斉に配信するクラウドサービスです。
この記事では、今回の不正アクセスの経緯と被害の規模、自治体の対応、そしてひとつの基盤に頼ることの危うさを整理します。
3行で分かるニュースのポイント
読み終えるころには、利用者として何に気をつければよいか、共通基盤を使う組織が何を見直すべきかが見えてくるはずです。
オススメ求人・フリーランス案件
【ISMS認証取得支援・PMO（3拠点）】東京都（赤坂駅・リモート併用）／セキュリティマネジメント
【大手企業のセキュリティ推進・脆弱性診断対応】東京都・田町（常駐）／脆弱性レポート・情シス業務
【大手リユース企業のSOC/CSIRT運用・インシデント対応】東京都・飯田橋（リモート併用）／EDR・SIEM・運用自動化
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【年収600～1000万円】IT人材紹介企業での社内SE（セキュリティ・ガバナンス）
プロダクトセキュリティエンジニア【AWS・GCP】年収650～1000万
【700～900万】セキュリティ診断テックリード
役員直下｜コーポレートIT・セキュリティ責任者候補【627～908万円】
災害時の情報伝達を担う基盤が、攻撃者の侵入を許しました。
Security NEXTやITmediaによると、経緯は以下の通りです。
アルカディアが不審な挙動を確認
侵入経路を塞ぐ応急措置を実施
外部からの侵入経路を特定し、11時から一部の環境を停止
アルカディアの告知によると、停止の対象は「SpeeCAN RAIDEN」と学校向けの「ライデン・スクール」の一部の利用者です。
同社は、復旧日時は未定としています。
ITmediaによると、漏えいした可能性がある情報の最大推定件数は以下の通りです。
| 情報の種類 | 最大件数 |
|---|---|
| メールアドレス | 約313万6000件 |
| 電話番号 | 約10万5000件 |
| FAX番号 | 約1万5000件 |
Security NEXTによると、連絡先の氏名のほか、担当者や契約者の情報、配信履歴として保存されている本文なども流出した可能性があります。
piyologによると、クレジットカードなどの決済情報は対象外とされています。
チップス313万件って、ものすごい数でしゅ……。
ボスひとつの基盤に、全国の自治体の登録者が集まっていたからだ。
被害が大きくなった背景には、多くの自治体が同じ基盤を共有していた構造があります。
ITmediaによると、SpeeCAN RAIDENは全国700の自治体に採用されています。
自治体ごとの影響の例は以下の通りです。
piyologによると、配信を完全に止めた自治体、新規登録だけを止めた自治体、配信を続けた自治体と、対応は分かれました。
配信を止めた自治体は、公式SNSやホームページを代わりの手段にしています。
侵入経路の詳細は、現時点で公表されていません。
今回の件は、多くの組織が同じクラウドサービスに頼ることのリスクを示しています。
共通基盤がひとつ破られると、全国の利用者の情報がまとめて危険にさらされます。
さらに防災のような用途では、情報漏えいに加えて、配信が止まること自体が住民の安全に関わります。
利用者と組織が意識したい点は以下の通りです。
漏えいしたアドレスが、防災情報を装ったフィッシングに悪用されることも想定しておく必要があります。
チップス防災メールを装った詐欺メールが来たら、だまされちゃいそうでしゅ……。
ボスだから、メールのリンクは踏まずに、自治体の公式サイトから確かめる癖をつけろ。
アルカディアの一斉配信サービス「SpeeCAN RAIDEN」が不正アクセスを受け、メールアドレス最大約313万6000件などが漏えいした可能性があります。
多くの自治体が同じ基盤を使っていたため影響は全国に広がり、防災メールを止める自治体も出ました。
登録者は不審なメールに注意し、組織は委託先に集まる情報の量と、止まったときの代わりの手段を見直すことが求められます。
ボス便利な共通基盤ほど、壊れたときの備えを忘れるな。
チップス自分の住んでいる自治体の公式SNSも、フォローしておくでしゅ！
参考：
Security NEXT
ITmedia NEWS「さいたま市や横須賀市など、防災情報配信システムに不正アクセス 全国でメアド最大313万漏えいか」
アルカディア「不正アクセスに伴う一部サービスの緊急停止について」
piyolog「防災情報配信サービス『SpeeCAN RAIDEN』への不正アクセスについてまとめてみた」
オススメ求人・フリーランス案件
【ISMS認証取得支援・PMO（3拠点）】東京都（赤坂駅・リモート併用）／セキュリティマネジメント
【大手企業のセキュリティ推進・脆弱性診断対応】東京都・田町（常駐）／脆弱性レポート・情シス業務
【大手リユース企業のSOC/CSIRT運用・インシデント対応】東京都・飯田橋（リモート併用）／EDR・SIEM・運用自動化
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【年収600～1000万円】IT人材紹介企業での社内SE（セキュリティ・ガバナンス）
プロダクトセキュリティエンジニア【AWS・GCP】年収650～1000万
【700～900万】セキュリティ診断テックリード
役員直下｜コーポレートIT・セキュリティ責任者候補【627～908万円】
