防災メールのアルカディアから詐欺142万通　87万通は名簿にないアドレスへ

静岡県島田市に、「市の防災メールのドメインから架空請求のメールが9件届いた」という通報があった。10月13日から20日にかけての話だ。防災情報だと思って開いた人は、たぶんいる。

防災メールの配信を請け負うアルカディア（大阪府箕面市）が、不正アクセスを受けた。10月13日の午前1時17分から7時16分までに、その会社のシステムからフィッシング詐欺のメールが142万3428通送られていた。会社が10月21日に公表した。ほかの自治体でも、カード会社を名乗る不審なメールが届いていると報じられている。

142万通のうち、87万通は名簿の外

数字で引っかかるのはここだ。会社の発表によると、142万3428通のうち、少なくとも86万9575通は、アルカディアが社内に持っているメールアドレス宛てではなかった。

つまり、盗まれた名簿に送られただけの話ではない。攻撃者は別のどこかで用意したアドレスの束を、防災メールという信用のある送り口に流し込んでいたことになる。その宛先がどこから来たものかは、公表されていない。

漏れたおそれのある情報も多い。メールアドレスは最大で約313万6000件、電話番号は約10万5000件、FAX番号は約1万5000件。さいたま市で3万4783件、横須賀市の防災メールで4万7065件、島田市で7583件と、全国の自治体の登録者が並ぶ。

入り口はふさいだのに、裏口から

時系列も分単位で公表されている。侵入が始まったのは10月11日の午前6時26分。会社が気づいたのは同じ日の午後11時40分。データベースに異常な負荷がかかっていたからだった。12日午前3時に侵入経路をふさいだ。

それでも止まらなかった。13日午前0時10分、バックドアから不正なメールの送信が始まる。配信が止まったのは同日午前7時16分。全サービスの復旧は15日午後3時10分で、侵入開始から約105時間後だった。

まだ分かっていないこと

会社は、ダークウェブに情報が出ていないかどうかの調査を、外部の機関に頼むとしている。87万通の宛先がどこから来たのか、盗まれた情報がどこまで使われたのかは、まだ出ていない。続報が出るとすれば、この調査の結果だろう。