船橋市：「ＮＥＴ119緊急通報システム」における第三者からの不正アクセスによる個人情報漏えいの可能性について

アルカディアの不正アクセスは、船橋市のNET119が影響を受けた事案の一部である。piyologによれば、不正アクセスは10月11日6時26分に始まった。アルカディアが19日に公表した「不正アクセスの経過と当社の対処について」を引くと、原因は添付ファイルを公開しているメディアサーバーに内部URLへアクセスできるディレクトリパストラバーサルがあったことで、内部ソースファイルから設定ファイル内のサービス間ログイン用シークレットキーが取得され、そのキーを使ってアカウントIDへの総当たり攻撃が行われた。ログインされたセッションから内部情報が取得されたという[s3]。同社は11日16時30分に不審な挙動を確認し、同日23時40分にデータベースの異常な負荷から不正アクセスを検知した。翌12日3時に経路を遮断し、ファイルサーバーの脆弱性を修正して調査を始めた[s3]。

13日未明には1時17分からメールの送信が始まり、最終的に1000件ずつの配信になった。アルカディアは大量配信からバックドアの設置に気づき、4時25分に不正なメール配信を検知して、7時16分に停止した[s3]。13日11時からは侵入経路となった2サービス(SpeeCAN RAIDENとライデン・スクール)の緊急停止を開始し、17時にはアクセス元IPアドレスを遮断した[s3]。13日から14日にかけて、NET119、旧119RAIDEN、社内会計サブシステムのデータベースでも不正アクセスの痕跡が見つかった[s3]。14日15時00分更新の公式ブログで、NET119と119RAIDENに第三者による不正アクセスの形跡があり、個人情報が漏えいした可能性があると公表した[s3]。船橋市の公表の「14日15時00分」はこの更新時刻に当たる。15日15時10分に緊急停止していた2サービスが復旧し、すべてのサービスの復旧が完了した[s3]。

NET119について、piyologは漏えいの可能性がある対象URLとして net119.speecan.jp、net119fd.speecan.jp、fs119.ktaiwork.jp を挙げている。件数は16日の公式ブログ更新で、9,020件のメールアドレスに紐づく個人情報と確定した[s3]。豊岡市は同市のNET119利用者(45件程度)について、既往症やかかりつけ医も取り扱い情報として挙げている[s3]。

影響はNET119にとどまらない。アルカディアが示した SpeeCAN RAIDEN の最大件数は、メールアドレス約3,136,000件、電話番号約105,000件、FAX番号約15,000件で、同社はこれを推定値としている。119RAIDENは、メールアドレス約97000件、電話番号約17000件、FAX番号約400件である[s3]。同社の防災情報配信サービスは9月末時点で875件の契約があった。総務省によれば、14日午後5時時点で都道府県6、市区町村104、一部事務組合1の計111団体からサービス停止や個人情報漏えいの報告があった[s3]。停止は防災メールのほか、職員への配備体制の一斉連絡やダムの放流通知の電話連絡にも及んだ。綾瀬市は、運用再開までは緊急情報の配信が防災行政無線だけになるとした[s3]。

アルカディアは今後の対応として、社内LLMによる脆弱性診断とコードレビュー、外部委託による脆弱性診断、データベースへのアクセス方法の見直し(2段階認証の導入)、自動監視の強化とSOC導入の検討を挙げている。より詳細な調査と対策は、セキュリティ専門の第三者機関に依頼するとしている[s3]。

同時期には、船橋市が利用するふるさと納税ポータルサイト「ふるさとチョイス」でも、運営のトラストバンクが10月19日、不正アクセスの疑いを検知し関連サービスを一時停止して調査中と報告している。船橋市の公表によれば、被害の有無は事業者が調査中である[s2]。アルカディアの件との関連を示す記述はない。