日本脆弱性総合ポータル

アルカディア：SpeeCAN RAIDENへの不正アクセスで不正メール配信と個人情報漏えいの可能性

重要度
業務やサービスの停止・9,020件
公表日
2026.10.19
原因の分類
自社実装の脆弱性、認証情報・シークレット
対策可能性
判定保留

この記事の3行まとめ

  1. 添付ファイルを置くサーバーから設定ファイルが取られ、不正アクセスされた
  2. 取られた鍵で総当たりのログインが行われ、内部情報が取得された
  3. NET119では9,020件の個人情報の漏えいの可能性があり、調査は続く

2026年10月11日、添付ファイルを公開するメディアサーバーでディレクトリパストラバーサルが悪用され、設定ファイル内のサービス間ログイン用の鍵が取得された。その鍵で、アカウントIDへの総当たり攻撃が行われ、ログインされたセッションから内部情報が取得された。その後、バックドアが設置され、現時点で1,423,428件のメールが外部に配信されたことがわかっている。漏えいの可能性がある個人情報のうち、NET119分は9,020件と確定した。

確認された経路・公表元の推定

  1. 2026年10月11日 06:26、メディアサーバーへのアクセスが始まった
  2. 同日 16:33、ディレクトリパストラバーサルを確認するチェックが行われた
  3. 同日 16:39、config.iniの取得に成功し、サービス間ログイン用の鍵が取得された
  4. その鍵を利用し、アカウントIDへの総当たり攻撃が実施された
  5. ログインされたセッションから内部情報が取得された
  6. 2026年10月13日 01:17、不正なメール送信が少しずつ始まり、最終的に1000件ずつ送られた
  7. 同日 04:10、大量のメール配信によりバックドアの設置が発覚した
  8. 同日 07:16、不正なメール配信が停止された

根拠の要点

公表元は、メディアサーバーのディレクトリパストラバーサル、設定ファイルからの鍵の取得、鍵を使った総当たり攻撃、セッションからの内部情報の取得を、確認済みの事実として説明している。アクセスログでも10月11日16:33のトラバーサルチェックと、config.iniの取得成功（16:39）が記録されている。

資料の基準時点：2026年10月19日付の資料（記載の最新は2026年10月16日時点）

当時、対策できたのか

判定保留

資料は、メディアサーバーにディレクトリパストラバーサルが存在していたと説明し、その後の解消を確認したと記す。一方で、攻撃時点でその弱点が既知だったか、修正版の時期、防御条件についての記載はない。対策の欠落や発覚時の未発見も明示されていないため、判定を保留する。

公表された対策

  • 2026年10月12日 03:00、不正アクセスの経路を遮断し、ファイルサーバーの脆弱性を修正、内部APIのログインテストを停止した
  • DBのPWを変更し、社内からDBへのアクセス方法を見直して、PWをサービスごとに個別に設定した
  • 2026年10月13日 17:00、不正アクセスの元IPアドレスからの接続を遮断した
  • 社内で立ち上げたLLMを活用し、全サービスの脆弱性診断とコードレビューを実施した。今後は外部の会社に委託して脆弱性診断を受ける
  • 今後は2段階認証を必要とするなど、DBへのアクセス対策を強化する
  • 各サービス・プロセスの自動監視を強化し、SOCの導入を検討する
  • セキュリティ専門の第三者機関に、詳細な調査と対策を依頼する
  • X、Facebook、LINE等との連携については、順次設定ファイルを見直す

この事例を理解するための動画

まだ分からないこと

  • メディアサーバーのパストラバーサルが攻撃時点で既知だったか、修正版の時期は資料に記載がない
  • 総当たり攻撃でどのアカウントにログインされたか、その件数は分からない
  • セッションから取得された内部情報の内容と件数は分からない
  • NET119以外のサービス（旧119RAIDENなど）の個人情報の漏えい件数は未確定
  • 第三者機関による詳細な調査の結果と、攻撃者の特定は資料にない

同じ会社の記事

アルカディアの事例をすべて見る

関連する事例

同じ原因分類の事例

事例の一覧に戻る