鹿沼市消防本部：119ライデン及びネット119（防災及び緊急通報システム）への不正アクセスについて

鹿沼市消防本部の公表は、委託先アルカディアの運営する「119ライデン」と「ネット119」への不正アクセスに関するものである。この事案は、同社の防災情報配信サービス「SpeeCAN RAIDEN」などを狙った一連の不正アクセスの一部とみられる。

経緯について、piyologはアルカディアが10月19日に公表した「不正アクセスの経過と当社の対処について」を引いている。それによると不正アクセスは10月11日6時26分に始まり、同日16時30分ごろに不審な挙動が確認され、23時40分にデータベースの異常な負荷から検知された。12日3時に経路を遮断して脆弱性を修正した。13日にはSpeeCAN RAIDENとライデン・スクールの2サービスを緊急停止し、15日15時10分に復旧した。[s3] 13日から14日にかけて、NET119、旧119RAIDEN、社内会計サブシステムのデータベースでも不正アクセスの痕跡が見つかった。[s3] 14日の公式ブログ更新で、NET119と119RAIDENにも漏えいの可能性があると公表された。[s3] 鹿沼市消防本部が同社から連絡を受けたのは19日で、これは侵入の開始から8日後、NET119と119RAIDENへの影響が公表された14日からも5日後にあたる。[s3] 下野新聞は、鹿沼市消防本部がメールアドレス漏えいのおそれを公表したと報じた。[s4]

侵入経路について、piyologとrocket-boysは、添付ファイルを公開するメディアサーバーにディレクトリパストラバーサルの脆弱性があったと伝えている。アルカディアの公表によれば、内部ソースファイルから設定ファイル内のサービス間ログイン用シークレットキーが取得され、アカウントIDに対する総当たり攻撃が行われた。ログインされたセッションから内部情報が取得されたという。[s3][s5] rocket-boysによると、同社の第12報では11日16時33分ごろにディレクトリトラバーサルが試みられ、16時39分には設定ファイルの取得に成功した記録が示されている。[s5] raiden3のデータベースでは書き換えられた箇所が複数見つかり、同社は15日に手作業で修正し、ソースコードの改竄がないことを確認したとしている。[s3] 侵入後にはバックドアが設置され、13日1時17分から不正なメール配信が始まった。同社は4時25分に検知し、7時16分に配信を停止した。[s3] rocket-boysによると、不正プログラムから外部に送信されたメールは計142万3,428件で、カード会社を装ったフィッシングが疑われるメールが多数含まれる。この件数は漏えい人数を示すものではない。[s5]

攻撃者側については、出典にリークサイトへの掲載や犯行声明は示されておらず、グループの特定もされていない。

影響の規模について、アルカディアが示した最大件数はSpeeCAN RAIDENでメールアドレス約313万6,000件、電話番号約10万5,000件、FAX番号約1万5,000件で、同社はこれを推定値としている。[s3] NET119は9,020件のメールアドレスに紐づく個人情報、119RAIDENはメールアドレス約9万7,000件、電話番号約1万7,000件、FAX番号約400件である。NET119の項目には利用者の名前、生年月日、住所などが含まれる。[s3] 鹿沼市の106人は、システム登録者数（119ライデン819人、ネット119 48人）とは別の、漏えい可能性のある人数である。rocket-boysも両者を混同しないよう注意を促している。[s5]

サプライチェーンの面では、同社のサービスは9月末時点で875件の契約があり、自治体のほか民間企業や団体も導入していた。[s3] 総務省によると、14日午後5時時点で都道府県6、市区町村104、一部事務組合1の計111団体からサービス停止や漏えいの報告が届いている。[s3] rocket-boysは、10月20日の再調査で個別に公表した都道府県・市区町村を計210行政主体としたうえで、これは流出が確認された数ではなく、同一事業者に起因する一つの事案としての集計だと断っている。栃木・愛知などの県警察や広域消防組合は別枠で整理されている。[s5] 停止の影響は防災メールにとどまらず、職員への配備体制の一斉連絡やダム放流通知の電話連絡にも及んだ。[s3] 鹿沼市のようにシステム停止がなかった例もある。[s5]

再発防止策として、アルカディアは19日の公表で、セキュリティ専門の第三者機関による詳細調査を依頼するとしている。あわせて、全サービスへのLLMを活用した脆弱性診断とコードレビュー、外部委託による脆弱性診断、データベースへのアクセス方法の見直し、パスワードのサービスごとの個別設定、自動監視の強化、SOC導入の検討を挙げた。[s3] 同社はすべての顧客に、ログインパスワードを変更してから利用するよう求めている。[s3] rocket-boysは、登録者に届く不審メールへの警戒が必要で、メールアドレスなどが知られた場合は偽装連絡や標的型メールの二次被害があり得ると指摘している。[s5]