鹿児島市：ソーホーかごしまのメールマガジンサービス提供事業者への不正アクセスによる情報漏えいのおそれ

経緯 公表によれば、ソーホーかごしまのメールマガジン提供事業者である株式会社ラクスライトクラウドが第三者による不審なアクセスを確認して全サービスを緊急停止し、2026年10月21日に委託先のSESHから鹿児島市へ連絡があった。市は翌22日に状況を確認している。事案を整理したサイトによれば、検知は10月21日（ラクスライトクラウド）、市の覚知は10月22日である [s6]。同サイトは、ラクスライトクラウドが運営する「ブラストメール」が、子育て情報配信メール「すくすくメール」とソーホーかごしまのメールマガジンの配信に使われていたと整理している。市の公表では、両サービスとも配信を停止し、規模は約2,000件（すくすくメール約1,500件、ソーホーかごしまのメールマガジン約500人）とされた [s6]。ソーホーかごしまはSESHとの契約で、契約者情報の漏えいは判明しているという [s6]。すくすくメールの対象情報はメールアドレスと任意の子どもの生年月日である [s6]。

侵入経路・影響 同サイトは、ブラストメールを使っていた組織の公表が79組織にのぼるとして、別ページにまとめている [s6]。同じ事業者の事案が複数の組織に波及していることがうかがえる。ただし、侵入の手口や悪用された脆弱性は、出典では示されていない。

市に関わる他の委託先・外部サービス事案 同じ時期に、鹿児島市に関連する別の事案も公表されている。いずれもブラストメールの件とは別の事案である。

・メール配信委託先の事案：防災情報を配信する大阪府のアルカディアが不正アクセスを受け、300万件以上のメールアドレスが流出したおそれがあると、KTS鹿児島テレビは伝えた [s5]。日本テレビ系の報道では、10月11日に第三者の不正アクセスがあり、約313万件のメールアドレスなどが流出した可能性があるとされる [s7]。鹿児島市の「安心ネットワーク119」には約1万1,000件が登録されており、氏名や電話番号を登録した人はそれらも漏えいした可能性がある [s7]。さつま町で約2,500件、枕崎市で約2,900件の漏えいの可能性も報じられた [s7]。KTSによれば、市消防局は10月15日、新たに職員や消防団員などのメールアドレス、氏名、電話番号計2,067件にも漏えいのおそれがあると発表した。市消防局は「対象人数の広がりはこれ以上ないとみている」としつつ、アルカディアへの情報収集を続けるとコメントした [s5]。

・ふるさと納税ポータルの事案：鹿児島市によれば、「ふるさとチョイス」（運営：トラストバンク）で不正アクセスにより会員情報が流出したとの報告があった。10月21日時点で確認されている件数は4,454,097件で、今後変動する可能性がある [s3]。システム連携する10のポータルサイトで寄附受付が停止された [s3]。市は、同じメールアドレスとパスワードの組み合わせを他のサービスで使っている場合のパスワード変更や、市やふるさとチョイスを装う不審なメール・SMS・電話への注意を呼びかけている [s3]。

・Webサイト制作ツールの事案：MBC開発によれば、市から受託して制作した「デジタルの日2026 in 鹿児島」の特設サイトで、制作ツール「Studio」の開発元（Studio株式会社）のクラウド環境に対する第三者の不正アクセスが発生した。問い合わせフォームから送信された氏名とメールアドレス5件が流出した可能性があり、現時点で不正利用の事実は確認されていない。委託先は侵入経路を塞ぐ応急措置を行い、サイトを非公開にした [s4]。

注意喚起 鹿児島市では、委託先や外部サービス事業者の側で起きた不正アクセスにより、市の業務に関わる情報が漏えいするおそれが相次いでいる。利用中のメール配信や制作ツールなどのクラウドサービス事業者が不正アクセスを受けた場合に、自組織の登録者情報がどこまで影響を受けるかを、委託先と共有しておく必要がある。