宮崎県：宮崎県防災・防犯情報メールサービスにおけるメールアドレス等の漏えいの可能性に係るお知らせ（健康増進課追加）

宮崎県の事案は、同県の防災・防犯情報メールサービスの基盤を運用する株式会社アルカディアへの不正アクセスに端を発する。公表によれば、同サービスはNECネッツエスアイ株式会社への業務委託を通じて、アルカディアが運用するシステムを利用している[s3]。piyologによると、アルカディアは2026年10月11日16時30分に、運営する「SpeeCAN RAIDEN」で不審な挙動を確認した。翌12日3時ごろに侵入経路を塞ぐ応急措置を講じ、影響範囲の調査を始めた[s5]。13日11時からは、侵入経路となっていた2サービス（raiden3.ktaiwork.jp向けのSpeeCAN RAIDENと、s2.ktaiwork.jp向けのライデン・スクール）の緊急停止を始めた[s5]。宮崎県は13日に、システムへの不正アクセスと漏えいの可能性が同日判明したと公表した[s3]。rocket-boys.co.jpによれば、県の3万8,959件はサービスの登録件数であり、同数の情報が流出したと確定したわけではない[s6]。UMKテレビ宮崎は、県のメールサービスは運用が続いていると伝えている[s7]。

今回の出典には、攻撃者のリークサイトへの掲載や、攻撃グループによる犯行声明、要求の記載はない。

侵入経路について、アルカディアは13日18時47分更新の公式ブログで、本日の調査で外部からの不正な侵入経路が判明したと記した。不正なアクセス元IPアドレスを特定して拒否設定にし、停止していないサービスのサーバーを点検して不正なプログラムの設定がないことも確認したという[s5]。rocket-boys.co.jpは、宮崎県の発表では不正アクセスの具体的な技術的原因が説明されていないこと、NECネッツエスアイ自身の社内システムの侵害や管理不備も示されていないことを指摘している[s6]。

影響はアルカディアの全体規模で見ると大きい。piyologによれば、同社はSpeeCAN RAIDENで漏えいの可能性がある最大件数を、メールアドレス約313万6,000件、電話番号約10万5,000件、FAX番号約1万5,000件と推定し、調査を続けるとしている。決済情報は取り扱っておらず、漏えいの対象ではないという[s5]。rocket-boys.co.jpは、宮崎県の3万8,959件はこの全体規模に含まれる可能性があり、双方を単純に加算して総数とすることはできないとしている[s6]。同社は10月14日に、NET119と119RAIDENにも不正アクセスの形跡があると追加公表した。NET119の最大件数は約1万3,000件で、項目には利用者の名前、生年月日、住所などが含まれる[s5]。波及先も広く、総務省は14日午後5時時点で、都道府県6、市区町村104、一部事務組合1の計111団体からサービス停止や個人情報漏えいの報告があるとしている[s5]。自治体では防災メールの配信停止にとどまらず、職員への配備体制の一斉連絡やダム放流通知の電話連絡にも支障が出た[s5]。

rocket-boys.co.jpは、自治体が直接契約する事業者とは別の会社が運用する基盤で不正アクセスが起き、共通の運用基盤を通じて契約先の異なる複数の自治体に影響が広がり得る事例だと位置づけた。委託元は、直接の契約先だけでなく、情報の保存先、実際の運用事業者、報告経路、代替連絡手段まで把握しておく必要があるとも述べている[s6]。IPAは10月9日、国内で不正アクセスによる情報漏えいが相次いでいるとして注意喚起を公開した。窃取された情報が公開の脅迫や不正売買などの二次被害に使われる傾向を挙げ、外部サービスの洗い出しとログ・アカウントの点検、保有データの再点検を求めている。サプライチェーン全体への目配りも経営者が認識すべき原則に含まれる[s4]。利用者向けには、宮崎県が県やサービス提供事業者を装う不審メールへの注意を呼びかけている[s3]。