泉大津市：シーパスパークホームページにおける個人情報漏えいの可能性に関する重要なお知らせ

泉大津市の公表によれば、同市が指定管理するシーパスパークエリアのホームページ作成ツールを提供するStudio社のクラウド環境で不正アクセスがあり、お問い合わせフォーム等の入力情報が流出した可能性がある。ただし、今回の出典はStudio社の件そのものを扱っておらず、同市が関わる別の不正アクセス事案に関する情報である。そのため、ここでは出典に基づく同市関連の別事案の内容に限って整理する。

泉大津市は、電話・ファクス防災情報配信サービスと職員一斉メールのシステム提供元である株式会社アルカディアのネットワークが不正アクセスを受けたと公表した [s3]。同市の公表によれば、10月11日16時30分にアルカディアが不審な挙動を確認し、12日3時ごろに侵入経路を塞ぐ応急措置と影響範囲の調査を始め、13日10時30分ごろに個人情報漏えいの可能性を発表した [s3]。市は14日10時5分、職員から送信元アドレスにシステム名の文字列が入った不審メールを受信したとの連絡を受け、不正アクセスが行われたことを覚知した [s3]。漏えいの可能性がある情報は、防災情報配信サービスの市民783人分（カタカナ氏名、電話番号・ファクス番号）と、職員一斉メールの職員941人分（氏名、メールアドレス）である（10月14日時点）[s3]。市は不審な電話やファクス、ショートメッセージへの注意を呼びかけている [s3]。

piyologによれば、アルカディアが10月19日に公表した経過では、不正アクセスは10月11日6時26分に始まった。原因は添付ファイルを公開しているメディアサーバーに、内部のURLへアクセスできるディレクトリパストラバーサルが存在したことである。内部ソースファイルから設定ファイル内のサービス間ログイン用シークレットキーが取得され、そのキーを使ってアカウントIDへの総当たり攻撃が行われたという [s4]。同社は13日1時17分ごろから不正なメール配信が始まったことでバックドアの設置に気づき、4時25分に検知、7時16分に配信を停止した [s4]。同日11時にはSpeeCAN RAIDENとライデン・スクールの2サービスを緊急停止し、15日15時10分に復旧して全サービスの復旧が完了した [s4]。

アルカディアが示した漏えいの可能性の最大件数は、SpeeCAN RAIDENでメールアドレス約313万6千件、電話番号約10万5千件、FAX番号約1万5千件で、同社は推定値としている [s4]。13日以降にはNET119と119RAIDENでも不正アクセスの形跡が見つかり、NET119は9,020件のメールアドレスに紐づく個人情報が対象となった [s4]。TBSの報道では、アルカディアは14日に新たに12万件以上の個人情報が漏えいした可能性を明らかにし、警察に相談しているという [s5]。今回の出典には、攻撃者のリークサイトへの掲載や犯行声明に関する記述はない。

影響は全国の自治体に及んだ。同社の防災情報配信サービスは9月末時点で875件の契約があった [s4]。総務省によれば、14日午後5時時点で都道府県6、市区町村104、一部事務組合1の計111団体から、サービス停止や個人情報漏えいの報告があった [s4][s5]。停止は防災メール配信にとどまらず、職員への配備体制の一斉連絡やダム放流通知の電話連絡にも及んだ [s4]。

泉州地域では、waryaji.comによれば、岸和田市、貝塚市、泉大津市、泉南市、阪南市、熊取町、岬町などの自治体・消防本部でも漏えいのおそれが明らかになった [s6]。泉大津市消防本部のNet119緊急通報システムでも、登録市民の個人情報が漏えいした可能性があり、影響範囲は調査中とされた [s6]。同紙によれば、10月15日現在、流出情報が悪用された二次被害は確認されていない [s6]。