自治体の災害情報配信などに使われるメール配信サービス「SpeeCAN RAIDEN」を運営するアルカディア（大阪府箕面市）は10月19日、同社サービスが受けた一連の不正アクセスについて、経過と対処をまとめた資料を公表した。攻撃者は公開サーバーの欠陥を突いて侵入し、システムを踏み台に142万3428通の迷惑メールを外部へ送信していた。メール配信サービスでは最大約313万6000件のメールアドレスに漏えいの可能性があるほか、音声での119番通報が難しい人向けの緊急通報システム「NET119」でも、9020件のメールアドレスにひも付く利用者情報が漏えいした可能性がある。緊急停止していたサービスは10月15日に全て復旧した。
最大313万件のメールアドレスに漏えいの可能性
同社が公式ブログで随時更新している経過報告（10月20日までに第13報）によると、個人情報が漏えいした可能性があるのは3つのサービスに及ぶ。SpeeCAN RAIDENでは、連絡先の名前、メールアドレス、電話・FAX番号、担当者、契約情報と、配信履歴として保存されている本文が対象で、件数は推定値としてメールアドレス約313万6000件、電話番号約10万5000件、FAX番号約1万5000件に上る。クレジットカードなどの決済情報は同サービスで取り扱っておらず、漏えいの対象ではないとしている。
調査の過程で、NET119と、同社が運営する「119RAIDEN」にも不正アクセスの痕跡が見つかった。NET119では、9020件のメールアドレスにひも付く利用者の名前、生年月日、性別、住所、電話番号などが漏えいした可能性がある。要配慮個人情報は漏えいしていないことを確認できたとし、映像通報に漏えいの可能性はないという。119RAIDENでは、連絡先のメールアドレス約9万7000件、電話番号約1万7000件、FAX番号約400件が対象となる。
| サービス | 漏えいの可能性がある情報 | 最大件数 |
|---|---|---|
| SpeeCAN RAIDEN | 連絡先の名前・メールアドレス・電話・FAX番号、担当者、契約情報、配信履歴の本文 | メール約313万6000件、電話約10万5000件、FAX約1万5000件（推定値） |
| NET119 | 利用者の名前・生年月日・性別・住所・電話番号・メールアドレスなど | 9020件のメールアドレスにひも付く個人情報 |
| 119RAIDEN | 連絡先の名前・メールアドレス・電話・FAX番号、担当者、契約情報 | メール約9万7000件、電話約1万7000件、FAX約400件 |
公開サーバーの欠陥から侵入 認証の「鍵」を奪われる
10月19日に公表された資料「不正アクセスの経過と当社の対処について」には、攻撃の手口が時系列で記されている。攻撃は10月11日午前6時26分に始まった。攻撃者はログイン用のプログラムや携帯電話向けのページ、外部からシステムの機能を呼び出す窓口（API）を半日近くかけて探索し、データベースを不正に操作するSQLインジェクションの試行や、ログインの大量試行を繰り返した。添付ファイルを公開しているメディアサーバーには、本来は見えない内部のファイルにたどり着ける「ディレクトリトラバーサル」と呼ばれる欠陥があり、同日午後4時39分、内部の設定ファイルを取得された。この中にあったサービス間ログイン用のシークレットキー（システム同士の認証に使う秘密の鍵）を使ってアカウントIDへの総当たり攻撃が行われ、ログインしたセッションから内部情報が取得されたという。
同社がデータベースの異常な負荷から不正アクセスを検知したのは同日午後11時40分。侵入開始から17時間余りが経っていた。12日午前3時ごろに侵入経路を遮断し、データベースのパスワードを変更して影響範囲の調査を始めた。同日夕方には、ブログ用ソフトのWordPressに身に覚えのないプラグイン（拡張機能）が追加されていたことも見つかり、管理画面のパスワードを変更した。
残高確認を装う迷惑メール142万通 フィッシング詐欺の疑い
13日未明には、攻撃者が再侵入のために仕掛けた不正な入り口（バックドア）から、システムを踏み台にした迷惑メールの配信が始まった。資料によると、配信は午前1時17分ごろ、5件ずつなど少しずつ始まり、最終的には1000件ずつ送られていた。同社は午前4時25分に不正な配信を検知し、メールの流量制限で配信速度を抑えた上で、午前7時16分に停止させた。それまでに外部へ配信されたメールの総数は142万3428通に上った。多くはクレジットカード会社からの残高確認のような内容で、偽サイトに誘導して個人情報を盗むフィッシング詐欺が疑われるという。同日夜には、NTTドコモのエリアメール担当から不審なアクセスを検知したとの連絡もあったとしている。
同社は13日午前11時、侵入経路となったSpeeCAN RAIDENの一部サーバーと「ライデン・スクール」を緊急停止した。14日深夜には停止中のサーバーのデータベースで書き換えられた箇所が複数見つかり、15日朝までに手作業で修正。ソースコードに改ざんがないことも確認した上で、15日午後3時10分に両サービスを復旧させ、全サービスの復旧が完了した。利用者にはログインパスワードの変更を呼びかけている。NET119と119RAIDENは停止せず、通常通り利用できる状態が続いているとしている。
北九州市の防災メールにも影響 NET119は緊急通報の基盤
SpeeCAN RAIDENは自治体などが災害情報の一斉配信に使っており、影響は利用する自治体にも及んでいる。北九州市は、市の「災害情報自動配信サービス」登録者の氏名・メールアドレス・電話番号・FAX番号と、「もらって安心災害情報配信サービス」登録者のメールアドレスに漏えいの可能性があると発表した。市は、すでに侵入経路が遮断され安全性が確保されているとして、配信サービスを継続している。
NET119は、総務省消防庁によると、音声による119番通報が困難な聴覚・言語機能障害者が、消防へ円滑に通報できるようにするシステム。スマートフォンなどから通報用サイトにアクセスし、「救急」「火事」の別と位置情報を入力すると消防本部に通報がつながり、その後テキストチャットで詳細を確認する仕組みで、各地の消防本部が導入している。災害時の情報伝達と緊急通報という、止められない仕組みを支えるシステムが攻撃の対象になった形だ。国内のサイバー攻撃と情報漏えいの傾向は、サイバー攻撃と情報漏えいの全体像 ランサム被害は最多123件、入口はVPNと委託先で整理している。
警察に被害届提出へ 「不審なメールのURLを開かないで」
同社は発覚後、個人情報保護委員会へ報告したほか、警察、総務省近畿総合通信局、近畿経済産業局などの関係機関へ相談・通報した。個人情報保護委員会への報告は本来、個人情報を取り扱う各契約者が行う必要があるが、同委員会と相談した上で同社が代行して報告する準備を進めており、19日に契約者へ案内のメールを送信した。警察とも協議しており、アクセスログなどを基に被害届を提出する予定だという。国への漏えい報告を巡る制度の運用は、個人情報の漏えい報告、3年で4万8315件 勧告6件・命令1件、社名公表はトヨタ・ドコモなど一部で詳しく扱っている。
再発防止策として、同社は全サービスを対象にした脆弱性診断とコードレビューを実施したほか、今後は外部企業に委託した脆弱性診断を受けるとした。データベースのパスワードをサービスごとに個別に設定し、2段階認証を必要とするなどの対策も強化する。セキュリティ専門の第三者機関による詳細な調査も進めるという。
登録者に向けては、不審な連絡などの二次被害が懸念されるとして、不審なメールやメッセージに氏名、住所、パスワード、口座情報などの個人情報を入力せず、身に覚えのない送信元からのメールに記載されたURLや添付ファイルを開かないよう注意を呼びかけている。個人情報漏えいの可能性についての調査と件数の特定にはなお時間を要する見通しで、同社は「判明次第ご報告できるよう努めてまいります」としている。