全国約800自治体の防災メールに不正アクセス、漏れたのはアドレスだけじゃない

全国の自治体が住民に送る防災メール。その配信を支えるシステムが、外から破られた。大阪府箕面市のアルカディアが運営する「SpeeCAN RAIDEN（スピーキャン・ライデン）」が10月11日に不正アクセスを受け、最大で約313万6,000件のメールアドレスが漏れた可能性がある。電話番号は約10万5,000件、FAX番号は約1万5,000件だ。

で、そのSpeeCAN RAIDENって何なんだ。

町の防災メールの、裏にいた1社

「避難所を開設しました」「土砂災害警戒情報が出ました」。ああいう連絡を、メールと電話とFAXでまとめて送り出すクラウドのサービスだ。デジタル庁の防災DXサービスカタログにも載り、9月末時点の契約は875件。全国で800近い自治体が使っていた。

それだけではない。同じ会社は、耳や言葉が不自由な人のためのNET119と、消防向けの119RAIDENも動かしている。20の府県警も、災害のときに職員の無事を確かめる仕組みに使っていた。警察庁によると、警察官や職員およそ12万5,000人分の氏名やメールアドレスが流出した恐れがある。多くは私用の携帯のアドレスだという。

名簿が、1社に集まっていた。

会社は、攻撃の経過を分単位で公表した。10月11日午前6時26分に攻撃が始まり、同じ日の午後、添付ファイルを置くサーバーのディレクトリトラバーサルの弱点を突かれて設定ファイルを取られる。中には、サービス同士がログインするための鍵が入っていた。12日午前3時に侵入経路はふさいだ。だが、終わらない。バックドアが仕掛けられていて、13日未明、システムから外へ勝手にメールが流れ出した。止めたのは午前7時16分。その間に142万3,428通。多くはカード会社の残高確認を装ったフィッシング詐欺とみられる。復旧まで105時間、約4日半かかった。

怖いのは、アドレスより「本文」のほう

漏れた可能性があるのは、連絡先の名前やメール、電話、FAXだけではない。アルカディアは、履歴として保存されている本文の内容も対象になり得る、と書いている。

つまり、あなたの町の防災メールが、どんな書き出しで、どんな言い回しで、どんな署名で届いていたか。その文面ごと、相手の手元にある可能性がある。偽物を作る側には、お手本をもらったのと同じだ。セキュリティ会社のコラムでも、届いた連絡の書き方や用語をまねれば見分けにくい偽の連絡を作れる、と指摘されている。

「本物の差出人から偽物が届く」は、もう起きた。静岡県島田市では、市の防災メールのドメインから架空請求のメールが届いたという通報が、10月13日から20日までに9件あった。市の登録者7,583件のアドレスが漏れた可能性があるという。お金の被害は、20日時点では確認されていない。

心配は、もう一段先にもある。漏れたとされるものの中には、自治体の担当者や契約の情報も入る。そこから管理画面のIDとパスワードを聞き出されれば、本物の配信元から全員に偽の情報を送れてしまう、という見方もある。

ネットの評判

分単位の公表には、技術者の反応が集まった。ITmediaの記事をブックマークした人は429人。ここまで出した姿勢を評価する声が目立つ一方で、検知した時点でなぜすぐ切り離さなかったのか、基本の弱点をなぜ止められなかったのか、と問う声もある。経過をまとめた別の記事には「300万件超えの漏洩はエグい。防災インフラが攻撃対象になると実害がシャレにならん」という書き込みもあった。

受け取る側は、何をすればいいのか。アルカディアの案内は単純だ。「不審な連絡に対して、氏名、住所、パスワード、口座情報などの個人情報を決して提示・入力しないでください」。身に覚えのない送信元のURLや添付ファイルも開かないように、と書いている。

覚えておくのは1つでいい。町の防災メールが、あなたに口座番号やパスワードを聞いてくることはない。