アルカディア / SpeeCAN RAIDEN：アルカディアのSpeeCAN RAIDENへの不正アクセスと個人情報漏えいの可能性

重要度: 重要度：5段階中5 業務やサービスの停止・9,020件
公表日: 2026.10.13
原因の分類: 自社実装の脆弱性、認証情報・シークレット
対策可能性: 判定保留

この記事の3行まとめ

アルカディアのSpeeCAN RAIDENに不正アクセスがあり、不正メールが配信された
メディアサーバーの脆弱性から鍵が取られ、内部情報も取得された
登録者は不審なメールのURLを開かず、個人情報を入力しないよう呼びかけられている

アルカディアが運営するSpeeCAN RAIDENに第三者が不正アクセスし、2026年10月11日、メディアサーバーのディレクトリパストラバーサルを悪用されて設定ファイルが取得された。取得したシークレットキーで総当たり攻撃が行われ、ログインされたセッションから内部情報が取得された。その後、バックドアが設置され、1,423,428件の不正メールが外部に配信された。raiden3とs2は緊急停止され、10月15日に復旧した。NET119では9,020件の個人情報が漏えいした可能性がある。広島市では、防災情報メールに影響はないとされたものの、職員参集システムの職員情報の一部が漏えいした可能性が報告された。唐津市の情報メールは新規受付が停止された後、2026年10月19日に再開された。

確認された経路・公表元の推定

2026年10月11日 06:26、メディアサーバーへのアクセスが始まった
同日 16:39、config.iniの取得に成功し、サービス間ログイン用のシークレットキーが取得された
そのシークレットキーを使い、アカウントIDに対して総当たり攻撃が行われた
ログインされたセッションから内部情報が取得された
2026年10月12日 03:00、不正アクセスの経路を遮断し、ファイルサーバーの脆弱性を修正した
2026年10月13日 01:17、不正なメール送信が少しずつ始まり、最終的に1000件ずつ送られた
同日 04:10、大量の配信によりバックドアの設置が発覚した
同日 07:16、不正なメール配信が停止された
同日 11:00、raiden3とs2を緊急停止した
2026年10月14日 08:30、旧119RAIDENとNET119のDBに不正アクセスの痕跡が発見された
2026年10月14日、広島市が職員参集システムの職員情報の一部について漏えいの可能性を公表した
2026年10月15日 15:10、raiden3とs2が復旧し、すべてのサービスの復旧が完了した
2026年10月16日、NET119の漏えいの可能性のある件数が9,020件と確定した
2026年10月19日 17時、唐津市情報メールの新規会員受付が再開された
周南市消防本部指令課は、登録者へメール等で注意喚起を行ったと発表した（2026年11月13日更新）

根拠の要点

公表元は、メディアサーバーのディレクトリパストラバーサルにより内部ソースファイルが取得され、設定ファイル内のサービス間ログイン用シークレットキーが取得されたと説明している。経過説明の時系列では、10月11日16:33に/mediaのトラバーサルチェック、16:39にconfig.iniの取得成功が記録されている。シークレットキーを利用した総当たり攻撃の後、ログインされたセッションから内部情報が取得された。資料にAIを使った攻撃の記載はない。

資料の基準時点：2026年11月13日更新時点（周南市）、経過説明は2026年10月19日付（取得日2026-11-14）