中津川市：不正アクセスによる個人情報が漏えいした可能性のある事案

中津川市の公表によれば、委託先アルカディアでの不正アクセスにより、NET119の登録36件の情報が漏えいした可能性がある。この事案は岐阜県内にとどまらず、全国の自治体に及ぶ事案の一部である。

経緯について、piyologが整理したアルカディアの公表では、不正アクセスは10月11日6時26分に始まった。原因は、添付ファイルを公開しているメディアサーバーにディレクトリパストラバーサルがあったことである。内部ソースファイルが取得され、設定ファイル内のサービス間ログイン用シークレットキーが抜き取られた。このキーを使ってアカウントIDへの総当たり攻撃が行われ、ログインしたセッションから内部情報が取得されたという[s3]。アルカディアは11日16時30分に不審な挙動を確認し、23時40分にデータベースの異常な負荷から不正アクセスを検知した。12日3時に経路を遮断してファイルサーバーの脆弱性を修正した[s3]。13日未明からは不正なメール送信が始まり、最終的に1000件ずつの配信になった。同社はバックドアの設置に気づき、7時16分に不正なメール配信を停止した[s3]。13日11時にはraiden3.ktaiwork.jp向けのSpeeCAN RAIDENとs2.ktaiwork.jp向けのライデン・スクールを緊急停止した[s3]。NET119が影響を受けていることは、10月14日15時の公式ブログ更新で追記された[s3]。その後、NET119の件数は16日の更新で確定したという[s3]。2サービスは15日15時10分に復旧し、全サービスの復旧が完了した[s3]。アルカディアは、脆弱性への対応を随時進めていると説明している[s3]。

漏えいの規模について、アルカディアが示した最大件数は、SpeeCAN RAIDENでメールアドレス約313万6千件、電話番号約10万5千件、FAX番号約1万5千件で、同社はこれを推定値としている[s3]。NET119では9,020件のメールアドレスに紐づく個人情報が漏えいした可能性があるという[s3]。決済情報はSpeeCAN RAIDENで取り扱っておらず、漏えいの対象ではないとしている[s3]。

影響は自治体の防災情報配信全般に及んだ。同社の防災情報配信サービスは9月末時点で875件の契約があった[s3]。総務省によると、14日午後5時時点で、都道府県6、市区町村104、一部事務組合1の計111団体からサービス停止や個人情報漏えいの報告が届いている[s3]。停止は防災メールにとどまらず、職員への一斉連絡やダムの放流通知の電話連絡にも及んだ[s3]。

岐阜県内について、読売新聞によれば、14〜15日に羽島、各務原、海津、美濃、多治見、中津川、瑞浪、恵那、土岐、高山、飛騨、下呂の各市、笠松町、養老町、大垣消防組合、不破消防組合、揖斐郡消防組合の少なくとも15消防本部と3市町が、個人情報が漏えいした可能性があると発表した[s5]。NET119の登録者数は、中津川市36人、多治見市34人、恵那市28人、土岐市30人などで、読売新聞は氏名、生年月日、性別、住所、電話番号、メールアドレスなどが漏れた恐れがあると報じている[s5]。中日新聞によれば、西濃地方の各消防組合は新規登録を停止し、登録者にメールで注意を促した[s6]。羽島市と各務原市では、消防職員や消防団員らが使う災害情報のメール配信システムも運用を停止した[s6]。

対策として、アルカディアは第三者のセキュリティ専門機関に詳細調査を依頼するとした。あわせて、外部委託による脆弱性診断、データベースへのアクセス方法の見直しと2段階認証の導入、監視の強化、SOC導入の検討を挙げている[s3]。また、すべての顧客にログインパスワードを変更してから利用するよう求めた[s3]。