常陸太田市：株式会社アルカディアへの不正アクセスについて

常陸太田市の件は、アルカディアが運営する防災情報配信サービスへの不正アクセスの一部として位置づけられる。

経緯について、piyologによれば、アルカディアは10月13日に同社の「SpeeCAN RAIDEN」が第三者による不正アクセスを受け、個人情報が漏えいした可能性があると公表した[s2]。同社が10月19日に公表した経過説明では、不正アクセスは10月11日6時26分に始まり、16時30分に不審な挙動を確認、23時40分にデータベースの異常な負荷から検知した。12日3時に経路を遮断し脆弱性を修正したという[s2]。13日11時からは侵入経路となっていた2サービスを緊急停止し、15日15時10分に復旧して全サービスの復旧が完了したと、同社は公式ブログに掲載した[s2]。茨城新聞によれば、常陸太田市は報道時点で、同社の一斉電話配信システムを利用していることから、今回の不正アクセスの影響があるのか確認を求めている段階だった[s3]。同システムは、災害発生時に自力避難が難しい高齢者や障害者を支援する市民に、支援の可否を確認するサービスだという[s3]。

侵入経路について、piyologが紹介するアルカディアの10月19日の公表によれば、原因は添付ファイルを公開しているメディアサーバーに、内部のURLにアクセスできるディレクトリパストラバーサルがあったことだった。内部ソースファイルが取得されて設定ファイル内のサービス間ログイン用シークレットキーが盗まれ、このキーでアカウントIDへの総当たり攻撃が行われ、ログインされたセッションから内部情報が取得されたという[s2]。13日未明には1時17分から不正なメール配信が始まり、最終的に1000件ずつの配信になった。同社はこの大量配信からバックドアの設置に気づき、7時16分に配信を停止した[s2]。13日から14日にかけて、NET119、旧119RAIDEN、社内会計サブシステムのデータベースでも不正アクセスの痕跡が見つかった[s2]。14日22時50分にはraiden3のデータベースで書き換えられた箇所が複数見つかり、同社は15日に手作業で修正して、ソースコードの改竄がないことを確認したとしている[s2]。

影響の規模について、アルカディアが示した最大件数は、メールアドレス約3,136,000件、電話番号約105,000件、FAX番号約15,000件で、同社はこれを推定値としている[s2]。NET119では9,020件のメールアドレスに紐づく個人情報に漏えいの可能性がある[s2]。防災情報配信サービスは9月末時点で875件の契約があった[s2]。総務省によれば、14日午後5時時点で、都道府県6、市区町村104、一部事務組合1の計111団体からサービス停止や個人情報漏えいの報告が届いている[s2]。停止は防災メールのほか、職員への配備体制の一斉連絡やダムの放流通知の電話連絡にも及んだ[s2]。

茨城県内では、古河市が13日午前11時に「市防災・防犯メール」を緊急停止した。利用者は約7000人で、市職員や自治会・行政区長ら約2000人は名前も登録しているという[s3]。北茨城市は登録者約5800人のメールアドレスが漏えいした可能性があるとしており、同社は既にアクセス経路を遮断し、二次被害は確認されていないという[s3]。県河川課は14日、県や市町村職員などのメールアドレス約800件が漏えいした可能性があると発表した[s3]。牛久市は、同社が関わる東京電力パワーグリッドの停電情報自動配信サービスに登録していた公用携帯電話のメールアドレスが流出した恐れがあるとしており、配信業務を委託していない自治体にも影響が及んでいる[s3]。

再発防止策として、アルカディアは全サービスへの脆弱性診断とコードレビュー、データベースへの社内アクセス方法の見直し、監視の強化、SOC導入の検討などを挙げ、詳細な調査と対策はセキュリティ専門の第三者機関に依頼するとしている[s2]。全顧客には、ログインパスワードを変更してから利用するよう求めている[s2]。