SpeeCAN RAIDEN ― 自治体の防災メール配信基盤に不正アクセス

要点

発表された事実

株式会社アルカディア（大阪府箕面市）は2026年10月13日、運営する防災・安全情報の配信サービス「SpeeCAN RAIDEN」に第三者の不正アクセスがあり、個人情報が漏洩した可能性があると公表した（アルカディアのお知らせ、SpeeCAN RAIDEN公式ブログ）。
10月11日16時30分に不正アクセスが疑われる不審な挙動を確認し、12日3時ごろに侵入経路を塞ぐ応急措置を講じた。13日の調査で侵入経路が判明し、侵入経路になっていたSpeeCAN RAIDEN（raiden3.ktaiwork.jp）とライデン・スクール（s2.ktaiwork.jp）を同日11時から緊急停止した。アクセス元のIPアドレスを特定して拒否した（同ブログ、10月13日18時47分更新）。
漏洩の可能性があるのは、連絡先の名前、メールアドレス、電話・FAX番号と、配信履歴として保存されている本文の内容。最大件数（推定値）はメールアドレス約313万6000件、電話番号約10万5000件、FAX番号約1万5000件。決済情報は扱っていない（同）。
調査の対象は raiden.ktaiwork.jp、raiden2.ktaiwork.jp、raiden3.ktaiwork.jp、raiden2.speecan.jp、s.ktaiwork.jp、s2.ktaiwork.jp の6環境。停止していない環境はサーバーを点検し、不正なプログラムが設定されていないことを確認したという（同）。
さいたま市、横須賀市、大分県、大分市、宮崎県、岡山市、箕面市などが、防災メールや電話・FAX配信、職員参集システムの登録情報が対象になりうると発表し、サービスの停止や新規登録の停止を案内した（各自治体の発表、ITmedia NEWS）。
さいたま市と横須賀市は、登録者から不審メールについての問い合わせを受けて事業者に確認し、不正アクセスを知った。横須賀市は「すでに不審な迷惑メールが届いていることを確認」したとしている（さいたま市、横須賀市）。
【2026-10-14追記】アルカディアは10月14日、詳細調査の結果、NET119と119RAIDENにも第三者の不正アクセスの形跡があり、個人情報が漏洩した可能性があると公表した。NET119は利用者の名前・生年月日・性別・住所・電話番号・メールアドレス・FAX番号など最大約1万3000件（映像通報は漏洩の可能性なし）。119RAIDENはメールアドレス最大約9万7000件、電話番号最大約1万7000件、FAX番号最大約400件。対象URLはNET119が net119.speecan.jp と net119fd.speecan.jp、119RAIDENが fs119.ktaiwork.jp（当初挙げた fs119.speecan.jp と 119r.speecan.jp は同日16時の更新で対象外と訂正）。両サービスは停止せず通常利用可能としている（SpeeCAN RAIDEN公式ブログ、10月14日15時・16時・17時12分更新）。
【2026-10-14追記】同日、二次被害を懸念して、登録者向けの注意喚起文案を自治体管理者へ示した（同ブログ、10時40分更新）。
【2026-10-14追記】総務省は14日、13日午後9時時点で36自治体から防災メール配信などのサービス停止の報告があったと明らかにし、アルカディアに被害状況の報告を求めている（産経ニュース）。アルカディアによると約800自治体がSpeeCAN RAIDENを利用しているという（同）。
【2026-10-15追記】大崎地域広域行政事務組合消防本部（宮城県）は10月14日、委託先アルカディアのサーバーへの不正アクセスで、NET119緊急通報システムの登録者45名と119RAIDENの80名の個人情報が流出した可能性があると公表した。NET119の登録者分には氏名・住所・電話番号に加え、障害の状況、血液型、勤務先が含まれる。両システムは稼働を続け、NET119の新規登録は安全が確認されるまで停止する（大崎消防本部の報告）。
【2026-10-15追記】アルカディアは10月15日10時12分の第7報で、個人情報保護委員会へ報告し、警察、ISMS事務局、プライバシーマーク事務局、近畿総合通信局（総務省）、近畿経済産業局などへ相談・通報したと説明した。同日13時30分の第8報で復旧予定を告知し、17時50分の第9報で、緊急停止していたraiden3.ktaiwork.jpとs2.ktaiwork.jpが15時ごろに復旧したと発表した。侵入経路は遮断し、システム内に不正なプログラムがないことも確認したとし、脆弱性への対応は随時進めているという。情報漏洩の範囲は引き続き調査中で、すべての利用者にログインパスワードを変更してから使うよう求めている（SpeeCAN RAIDEN公式ブログ）。
【2026-10-16追記】岡山県警は10月15日の県議会産業労働警察委員会で、大規模災害時の職員安否・参集確認システム（アルカディア委託）に登録された警察官・職員ほぼ全員約4,000人分の氏名・所属名・個人携帯のメールアドレスが漏洩した可能性があると明らかにした。13日午後2時半ごろにアルカディアからメールで連絡を受けて判明。システムは稼働を続け、県民情報は含まれない。警備部長は早期解明と再発防止の徹底を申し入れたと答弁した（朝日新聞、KSB瀬戸内海放送、RSK山陽放送）。
【2026-10-16追記】同日、赤磐市はNET119登録者28人分（住所・氏名・生年月日など）と、119RAIDENに登録した消防職員・団員・市幹部ら193件（メールアドレス・氏名・電話番号）が漏洩した可能性があると発表した（朝日新聞、KSB）。朝日新聞は、岡山県内では岡山・玉野両市に加え津山市でも災害情報メール登録の約2万4千件のメールアドレスや市職員の名前などが流出した恐れがあると報じた（朝日新聞）。
【2026-10-16追記】アルカディアは10月16日15時30分の第10報で、本来は各契約者から個人情報保護委員会へ報告する必要があるところ、委員会と相談のうえ同社が代行報告する予定で準備中であり、同意取得の案内をメールで送ると説明した（SpeeCAN RAIDEN公式ブログ）。
【2026-10-17追記】アルカディアは10月16日18時10分の第11報で、NET119（net119.speecan.jp、net119fd.speecan.jp）について、漏洩した可能性のある個人情報を「9,020件のメールアドレスに紐づく」利用者の名前・生年月日・性別・住所・電話番号・メールアドレス・FAX番号・他サービス登録時の情報とし、該当メールアドレスを各消防本部に個別に知らせる予定と説明した。要配慮個人情報は漏洩していないことを確認したという。119RAIDEN（fs119.ktaiwork.jpのみ）はメールアドレス約9万7000件・電話番号約1万7000件・FAX番号約400件で、第4報と同じ件数（SpeeCAN RAIDEN公式ブログ第11報）。
【2026-10-17追記】兵庫県警は、災害時に警察官らの安否確認などを行うシステムをアルカディアに委託しており、約1万3千人分のメールアドレス、氏名の一部、所属を示すコードが漏えいした恐れがあると明らかにした（10月15日、共同通信の取材に回答）。13日に不正アクセスの連絡を受け、通知と注意喚起をした。システムは停止しておらず業務への支障はないという（共同通信（東京新聞））。
【2026-10-17追記】兵庫県は10月14日、SpeeCAN RAIDENに登録された土木部・農林水産部・危機管理部などの職員の氏名・メールアドレス・電話番号計約3000件（重複含む、退職した元職員を含む）が漏洩した可能性があると発表した。同日、神戸市は市職員約1万3000人分の氏名・所属・個人のメールアドレスなど、加古川市は市職員約2000人の氏名・個人メールアドレスなどについて漏洩の可能性を発表した。芦屋市・西宮市・豊岡市も同社のサービスを利用しており漏洩の可能性があるとしている（産経ニュース）。
【2026-10-17追記】和歌山県教育委員会は10月15日、県立21校（17高校、4中学校）の生徒・保護者向け連絡メールの登録者約1万6000人分の名前、メールアドレス、在籍する学校名・学年などが漏洩した可能性があると発表した。アルカディアから13日に各校へ報告があった（テレビ和歌山、47NEWS、産経新聞（Yahoo!ニュース））。
【2026-10-17追記】北海道新聞の15日の集計では、防災メールなどの配信を一時停止した道内の自治体は少なくとも41市町村に上り、サービスの復旧を受けて順次再開している（北海道新聞）。旭川市は10月16日、緊急停止していたSpeeCAN RAIDENが復旧したと発表した。漏洩の影響範囲は引き続き調査中としている（旭川市）。
【2026-10-17追記】札幌市消防局は、NET119緊急通報システムの新規利用者登録の受付を、システムの安全性が十分に確認・確保されるまで一時停止している。登録済みの人はこれまでどおり119番通報に使える（札幌市）。
【2026-10-19追記】アルカディアは10月19日10時の第12報で、代表取締役社長名の「不正アクセスの経過と当社の対処について」（PDF）を公開した。侵入の経緯は、添付ファイルを公開するメディアサーバーに内部のURLへアクセスできるディレクトリパストラバーサルがあり、内部のソースファイルが取得されたことで、設定ファイル（config.ini）にあったサービス間ログイン用のシークレットキーが取られた。このキーを使ってアカウントIDへの総当たり攻撃が行われ、ログインされたセッションから内部情報が取得された。アクセスは10月11日6時26分に始まり、ログイン画面のJavaScript取得、モバイル向けパスの探索、ログインAPIへの大量のログイン試行、SQLインジェクションのチェックなどを経て、16時39分にconfig.iniの取得に成功した。社内のシステム監視がDBの異常な負荷を覚知し、不正アクセスを検知したのは同日23時40分（第12報、経過報告PDF）。
【2026-10-19追記】経過報告によると、12日17時5分にWordPressのプラグインが追加されていたことが発覚した。13日0時10分からメール送信の試験（DKIM、DMARCなど）が行われ、1時17分から少しずつ（最終的に1,000件ずつ）配信が始まり、4時10分に大量配信からバックドアの設置が発覚、7時16分に不正なメール配信を止めた。不正なプログラムで外部に配信されたメールは現時点で計1,423,428通で、多くはクレジットカード会社からの残高確認のような内容で、フィッシング詐欺が疑われるとしている。14日22時50分にはraiden3のDBで書き換えられた箇所を複数見つけ、15日9時30分に手作業で修正した（経過報告PDF）。
【2026-10-19追記】アルカディアは、パストラバーサルの解消、不正なソースコードがないこと、DBの健全性、設定ファイルやcronの設定に問題がないことを確認したとし、より詳しい調査と対策をセキュリティ専門の第三者機関に依頼する。再発防止として、社内で立ち上げたLLMを使った脆弱性診断とコードレビュー（今後は外部委託の診断も受ける）、DBへのアクセス方法の見直し（パスワードをサービスごとに個別設定、今後は2段階認証など）、自動監視の強化とSOC導入の検討を挙げた。個人情報保護委員会、JIPDECプライバシーマーク推進センター、総務省近畿総合通信局、ISMSの審査機関に報告済みで、箕面市の警察と大阪府警とも協議しており、アクセスログなどを元に被害届を出す予定。漏洩の可能性の具体的な数値の特定にはなお時間がかかる見通し（経過報告PDF）。
【2026-10-20追記】アルカディアは10月20日14時の第13報で、第10報で予告していた個人情報保護委員会への報告代行について、10月19日15時58分に「【重要】弊社サービスへの不正アクセス発生に伴う、個人情報保護委員会様への報告代行のご案内」という件名のメールを契約者に送ったと告知し、内容を確認して入力するよう求めた。対象はSpeeCAN RAIDENの6環境（raiden.ktaiwork.jp、raiden2.ktaiwork.jp、raiden3.ktaiwork.jp、raiden2.speecan.jp、s.ktaiwork.jp、s2.ktaiwork.jp）、NET119（net119.speecan.jp、net119fd.speecan.jp）、119RAIDEN（fs119.ktaiwork.jpのみ）（SpeeCAN RAIDEN公式ブログ第13報）。
【2026-10-20追記】10月20日、各地の県警で職員の情報が対象になりうることが相次いで報じられた。朝日新聞によると、神奈川県警は災害時に職員の安否や出勤の可否を確認するシステムに登録していた約1万6千人分の氏名・メールアドレス、福岡県警は2020年から運用を委託していた同種のシステムの約1万1千人分の名前・メールアドレス・所属、埼玉県警は約1万3千人分の名前・所属・私用メールアドレス、愛知県警は職員の安否確認サービスに登録していた約1万5千人分の氏名・所属・メールアドレス、栃木県警は全職員にあたる約3900人分の氏名・所属・職名・携帯電話番号・メールアドレスについて、漏洩の可能性があるという。いずれも13日にアルカディアから連絡を受け、神奈川・福岡・栃木の各県警はシステムの利用を止めている。現時点で被害は確認されていないとしている（朝日新聞、10月20日）。NHKによると、鹿児島県警でも警察官と職員あわせて約2200人分の名前やメールアドレスなどが漏えいした可能性がある（NHK、10月20日）。
【2026-10-20追記】ITmedia NEWS（10月20日）は第12報の経過報告を詳しく報じ、12日9時30分にデータベースのパスワードを変更した影響で、消防情報の外部連携や電話発信に失敗する、空メール登録画面でエラーが出るといった不具合が、自治体の消防などの顧客で起きていたことも経過報告で明らかにされていると伝えた（ITmedia NEWS）。
【2026-10-22追記】名古屋市は10月21日の第2報で、NET119の提供元業者から10月20日に、市の登録者184名分の情報が漏えいした可能性があると報告を受けたと発表した。不正アクセスが確認されたのはNET119による通報と練習通報の履歴情報で、通報の45名は氏名・生年月日・性別・住所・電話番号・メールアドレス・FAX番号・登録時に入力したその他の情報、練習通報の139名はメールアドレスが対象。これとは別に、通報訓練などのために登録していた消防局職員29名分も漏えいした可能性がある。市は対象者に連絡し、二次被害の情報は受けていないとしている（名古屋市）。
【2026-10-22追記】青森市（青森地域広域事務組合消防本部）も10月21日の第2報で、アルカディアからの報告として、NET119登録者のうち33件（氏名・生年月日・性別・住所・電話（FAX）番号・メールアドレス）が漏洩した可能性があると発表した。対象者には同日から順次メールで通知している。災害情報メールは調査中で、NET119と災害情報メールは監視を強化したうえで通常どおり運用している（青森市）。

わかったこと

【2026-10-14】NET119・119RAIDENにも不正アクセスの形跡があり、漏洩の可能性がある対象サービス・URL・項目・最大件数が追加で公表された（映像通報は対象外。119RAIDENの一部URLは後から対象外に訂正）（SpeeCAN RAIDEN公式ブログ）。
【2026-10-14】13日午後9時時点で、少なくとも36自治体が防災メール等を停止した（総務省、産経ニュース）。約800自治体が本サービスを利用（アルカディアの説明、産経ニュース）。
【2026-10-15】緊急停止していた2環境（raiden3.ktaiwork.jp、s2.ktaiwork.jp）は10月15日15時ごろに復旧した。アルカディアは侵入経路の遮断と不正プログラムがないことの確認を済ませたとし、全利用者にパスワード変更を求めた（SpeeCAN RAIDEN公式ブログ、第9報）。
【2026-10-15】NET119では、聴覚・言語機能に障害がある登録者の障害の状況や血液型まで対象になりうることが、消防本部の公表で具体的にわかった（大崎消防本部）。
【2026-10-16】岡山県警の職員安否確認システムでも、ほぼ全職員約4,000人分（氏名・所属・個人携帯メール）が対象になりうる。県民情報は含まれない（岡山県警の県議会答弁、朝日新聞・KSB・RSK）。
【2026-10-16】赤磐市はNET119 28人分と119RAIDEN 193件を対象として公表した（赤磐市／KSB・朝日新聞）。
【2026-10-16】アルカディアは個人情報保護委員会への報告を、各契約者に代わって代行する方向で準備している（第10報）。
【2026-10-17】NET119の対象は「9,020件のメールアドレスに紐づく個人情報」とされ、第4報の「最大約1万3000件」から絞り込まれた。要配慮個人情報は漏洩していない（第11報）。
【2026-10-17】兵庫県警（約1万3千人分）、兵庫県（職員約3000件）、神戸市（職員約1万3000人分）、加古川市（職員約2000人）でも、職員の安否確認・参集などの登録情報が対象になりうる（共同通信、産経ニュース）。
【2026-10-17】学校の連絡メールでも登録者情報が対象になりうる。和歌山県では県立21校の約1万6000人分（和歌山県教育委員会／テレビ和歌山・47NEWS）。
【2026-10-17】北海道では少なくとも41市町村が配信を一時停止し、復旧後に順次再開している（北海道新聞）。
【2026-10-19】侵入経路は、メディアサーバーのディレクトリパストラバーサルから内部ソースと設定ファイルを取られ、そこにあったサービス間ログイン用シークレットキーでアカウントIDへの総当たりログインをされたものだった（第12報・経過報告PDF）。
【2026-10-19】攻撃の開始は10月11日6時26分、設定ファイルの取得は16時39分、検知は同日23時40分（DBの異常負荷）（同）。
【2026-10-19】攻撃者は12日にWordPressプラグインを追加し、13日未明にバックドアからメールを配信した。外部に配信された不正メールは計1,423,428通で、多くはカード会社を装ったフィッシングとみられる（同）。登録者に届いた不審メールの少なくとも一部は、乗っ取られた配信基盤そのものから送られていたことになる（考察）。
【2026-10-19】raiden3のDBにも書き換えがあり、15日に手作業で修正した（同）。
【2026-10-20】個人情報保護委員会への報告代行の案内メールは10月19日15時58分に契約者へ送られた。対象はSpeeCAN RAIDENの6環境、NET119、119RAIDEN（fs119.ktaiwork.jp）（第13報）。
【2026-10-20】職員の安否確認システムをアルカディアに委託していた県警は、報道で確認できただけで岡山・兵庫に加え、神奈川（約1万6千人分）、福岡（約1万1千人分）、埼玉（約1万3千人分）、愛知（約1万5千人分）、栃木（全職員約3900人分）、鹿児島（約2200人分）に広がった（朝日新聞、NHK）。
【2026-10-20】初動で12日にDBのパスワードを変えた影響で、消防情報の外部連携や電話発信の失敗など、顧客側の業務にも不具合が出ていた（経過報告、ITmedia NEWS）。
【2026-10-22】NET119の対象は、消防本部ごとの件数が出始めている。名古屋市は通報・練習通報の履歴から184名（ほかに職員29名）、青森市は33件（名古屋市、青森市）。
【2026-10-24】第17報（10月21日17:20）：13日1時17分〜7時16分に不正なプログラムから外部へ配信された不正メール（フィッシング詐欺）は計1,423,428通で、うち少なくとも869,575通は、同社が保有するメールアドレスへの配信ではないことがわかった。今後、外部機関でダークウェブ調査を行い、結果は後日報告する（SpeeCAN RAIDEN お知らせ）。
【2026-10-24】第14報（10月21日）で総務省への報告代行の案内を代理店に送ったと告知。第15報（同日）ではLINE・X・Facebook連携を使う契約者に、チャネルシークレットの再発行など連携の再設定を依頼した。第16報（同日17:00）でFAX・放送連携・ファイル添付を一時制限し、第18報（同日19:30）で解除。第19報（10月22日10:40）で外部システムからのAPI連携機能を停止した（気象情報連携は影響なし）（SpeeCAN RAIDEN お知らせ）。
【2026-10-24】第20報（10月22日）と第22報（10月23日）で、SpeeCAN RAIDENとライデン・スクールに「ログイン時2段階認証」（メールで送る確認コード）を必ず使うよう求めた（SpeeCAN RAIDEN お知らせ）。
【2026-10-24】10月23日の第21報で、社長名の報告書と説明資料を公開した。説明資料では、契約数（2026年9月末）を官公庁875件（自治体715、消防署312、警察署22）、企業他242件、学校584校と示し、個人情報保護委員会への代行報告を取りまとめ中（代行には自治体の同意が必要）、住民への直接のメール配信は目的外利用になるため行っていないとした（説明資料（PDF））。
【2026-10-24】（報道）同社は10月23日に記者会見した。産経新聞によると、天白成一社長は「攻撃は続いている」と述べ、状況によってはサービスを再び停止する可能性もあるとした（産経ニュース）。ANNは、少なくとも55万件以上のアドレスにフィッシングメールが送られ、データは閲覧されたものの持ち出された痕跡はないと伝えた。同社は利用者にログインID・パスワードの変更と2段階認証の設定を求めている（ANN（Yahoo!ニュース））。
【2026-10-27追記】10月26日18時40分の第23報で、第13報で案内した個人情報保護委員会への代行報告について、同意を得た契約者のリストとともに「行政機関の漏えい等事案報告書」（受付番号：340766800343）を10月23日（金）に同委員会へ報告したと告知した。まだ回答していない契約者には今月中をめどに回答を求め、回答があり次第、順次同委員会へ報告するとしている（SpeeCAN RAIDEN お知らせ）。

わかっていないこと

実際に持ち出された情報があるか、あればその件数と範囲（公表件数は推定の最大値）（【2026-10-24追記】ANNは会見について「閲覧されたものの持ち出された痕跡はない」と報じた。会社の書面では「漏えいの可能性」のまま）
【2026-10-24追記】外部機関によるダークウェブ調査の結果と、会見で「攻撃は続いている」とされた攻撃の内容
6環境のうち、どの環境のどの自治体のデータに攻撃者が届いたか
配信履歴の本文がどの期間分、どの用途（住民向け・職員向け・学校向け）まで含まれるか
登録者に届いている不審メールが、今回の不正アクセスで得られた情報によるものか（【2026-10-19追記】第12報で、乗っ取られた基盤のバックドアから計1,423,428通の不正メールが外部に配信されたことは判明。宛先の内訳と、盗まれた登録者情報がどこまで使われたかは未公表）
各自治体の防災メールの再開時期（【2026-10-15追記】停止した2環境自体は10月15日15時ごろに復旧したが、各自治体が配信を再開するかは自治体ごとの判断。【2026-10-17追記】北海道では復旧後に順次再開しているが、全国の再開状況はまとまっていない）
「脆弱性につきましても随時対応を進めております」とした脆弱性が何で、対応が済んだか（【2026-10-19追記】第12報で、侵入に使われたディレクトリパストラバーサルは解消を確認済みとした。ほかの脆弱性はLLMを使った社内診断で「適宜対応」したとし、外部の診断はこれから）
【2026-10-19追記】第三者機関による調査の結果と、被害届提出後の捜査の状況
影響を受けた自治体の総数（【2026-10-14追記】総務省は停止報告が36自治体と公表したが、影響のあった全自治体数や利用約800自治体のうちどれが対象かは未公表。【2026-10-17追記】北海道新聞の集計では道内だけで少なくとも41市町村が配信を停止した。【2026-10-20追記】県警でも神奈川・福岡・埼玉・愛知・栃木・鹿児島などで職員の情報が対象になりうると報じられたが、契約者全体の数と内訳はアルカディアから公表されていない）
NET119・119RAIDENで実際に持ち出されたか、侵入経路がSpeeCAN RAIDEN本体と同じか（【2026-10-17追記】第11報でNET119は9,020件のメールアドレスに紐づく情報に絞り込まれたが、持ち出しの有無と侵入経路は未公表）

関係しそうな既知の手口

（考察）国内では9月下旬以降、メール配信や問い合わせ受付などを企業から預かる委託先のシステムが破られ、複数の発注元の情報が同時に漏れる事案が続いている（例：大和証券など5社の問い合わせ管理を受託するスカラ、IDCFクラウド）。本件は発注元が自治体で、預けていたのが防災情報の宛先だった点が異なる。侵入の手口はまだ公表されていない。

概要

全国の自治体が防災メールや職員の参集連絡に使う民間の配信基盤「SpeeCAN RAIDEN」に不正アクセスがあり、登録者の連絡先と配信履歴の本文が漏洩した可能性がある。
アルカディアが示した最大件数はメールアドレス約313万6000件。自治体ごとの登録数はさいたま市3万4783件、大分県2万7667件、宮崎県3万8959件など。
各地で防災メールが止まり、住民には自治体のホームページ・SNS・防災行政無線などの代わりの経路が案内されている。登録者にはすでに不審メールが届いている。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2026-10-11（日）16:30	アルカディアが、SpeeCAN RAIDENで不正アクセスが疑われる不審な挙動を確認（アルカディア）
2026-10-12（月・祝）3:00ごろ	侵入経路を塞ぐ応急措置を講じ、影響範囲の調査を開始（同）
2026-10-13（火）10:30ごろ	アルカディアが、不正アクセスにより個人情報が漏洩した可能性があると発表（さいたま市の説明）
2026-10-13（火）11:00	SpeeCAN RAIDEN（raiden3.ktaiwork.jp）とライデン・スクール（s2.ktaiwork.jp）を緊急停止（SpeeCAN RAIDEN公式ブログ）
2026-10-13（火）12:50	さいたま市に、送信元アドレスにシステム名の文字列が入った不審メールを受け取ったと市民から問い合わせ。12:52に市がアルカディアに確認し、不正アクセスを覚知（さいたま市）
2026-10-13（火）	横須賀市が、登録者からの不審メールの問い合わせを受けて事業者に確認し、不正アクセスを確認。防災・防犯の4サービスを停止（横須賀市）
2026-10-13（火）16:30	大分県が「県民安全・安心メール」で、委託事業者への不正アクセスを告知（大分県）。17時から記者会見（OBS大分放送）
2026-10-13（火）18:47	アルカディアがお知らせを更新。侵入経路が判明し、停止した2環境が侵入経路だったと説明。最大件数を公表し、対象項目に「配信履歴にある本文」を加えた（SpeeCAN RAIDEN公式ブログ）
2026-10-13（火）	総務省は一部の自治体から報告が寄せられているとして状況を確認中（日本経済新聞（共同））
2026-10-14（水）	ITmedia NEWSが、SpeeCAN RAIDENはデジタル庁の資料で全国700自治体が採用しているサービスだと報道（ITmedia NEWS）
2026-10-14（水）10:40	アルカディアが、二次被害を懸念して登録者向け注意喚起の文案を管理者へ示した（SpeeCAN RAIDEN公式ブログ）
2026-10-14（水）11:39頃	総務省が、13日午後9時時点で36自治体からサービス停止の報告があったと公表。アルカディアに被害状況の報告を求めている（産経ニュース）
2026-10-14（水）15:00	アルカディアが、NET119と119RAIDENにも不正アクセスの形跡があり、個人情報が漏洩した可能性があると公表。NET119最大約1万3000件、119RAIDENはメール約9万7000件など（同ブログ）
2026-10-14（水）16:00	119RAIDENの対象URLのうち fs119.speecan.jp と 119r.speecan.jp を対象外と訂正（同）
2026-10-14（水）17:12	NET119について、映像通報は漏洩の可能性がないと明記（同）
2026-10-14（水）	大崎地域広域行政事務組合消防本部が、NET119の45名と119RAIDENの80名が対象と公表。NET119の新規登録を停止（大崎消防本部）
2026-10-14（水）	兵庫県が職員約3000件、神戸市が職員約1万3000人分、加古川市が職員約2000人分の漏洩可能性を発表（産経ニュース）
2026-10-15（木）10:12	第7報。個人情報保護委員会への報告と、警察・総務省・経産省の地方機関などへの相談・通報を説明（SpeeCAN RAIDEN公式ブログ）
2026-10-15（木）13:30	第8報。停止中の2環境を15時ごろに復旧する予定と告知（同）
2026-10-15（木）15:00ごろ	raiden3.ktaiwork.jpとs2.ktaiwork.jpが復旧。17:50の第9報で発表し、全利用者にパスワード変更を要請。漏洩範囲は調査継続（同）
2026-10-15（木）	岡山県警が県議会で、職員ほぼ全員約4,000人分の氏名・所属・個人携帯メールの漏洩可能性を公表。赤磐市はNET119 28人・119RAIDEN 193件を公表（朝日新聞、KSB）
2026-10-15（木）	兵庫県警が、職員の安否確認システムで約1万3千人分のメールアドレス・氏名の一部・所属コードが漏えいした恐れがあると取材に回答（共同通信）
2026-10-15（木）	和歌山県教育委員会が、県立21校の生徒・保護者向け連絡メールの登録者約1万6000人分について漏洩の可能性を発表（テレビ和歌山、47NEWS）。北海道新聞は、道内で少なくとも41市町村が防災メールなどの配信を一時停止し、復旧後に順次再開していると報道（北海道新聞）
2026-10-16（金）	旭川市がSpeeCAN RAIDENの復旧を発表（旭川市）
2026-10-16（金）15:30	第10報。個人情報保護委員会への報告を各契約者に代わって代行する準備中で、同意取得の案内をメールで送ると説明（SpeeCAN RAIDEN公式ブログ）
2026-10-16（金）18:10	第11報。NET119の対象を9,020件のメールアドレスに紐づく個人情報とし、要配慮個人情報は漏洩していないと説明。該当アドレスを各消防本部に個別通知予定（SpeeCAN RAIDEN公式ブログ第11報）
2026-10-19（月）10:00	第12報。社長名の経過報告PDFで、侵入経路（メディアサーバーのパストラバーサル→設定ファイル内のシークレットキー取得→アカウントIDへの総当たり）と時刻つきの経過、バックドアからの不正メール計1,423,428通を公表（経過報告PDF）
2026-10-19（月）15:58	個人情報保護委員会への報告代行の案内メールを契約者に送信（第13報で告知）
2026-10-20（火）	神奈川県警（約1万6千人分）、福岡県警（約1万1千人分）、埼玉県警（約1万3千人分）、愛知県警（約1万5千人分）、栃木県警（全職員約3900人分）、鹿児島県警（約2200人分）で、職員の情報に漏洩の可能性があると報道（朝日新聞、NHK）
2026-10-20（火）14:00	第13報。報告代行の案内メール（19日15:58送信）の確認と入力を契約者に依頼（SpeeCAN RAIDEN公式ブログ第13報）
2026-10-21（水）	名古屋市が第2報で、NET119の市の登録者184名分（ほかに職員29名分）の漏えい可能性を発表（名古屋市）。青森市も第2報でNET119登録者33件を発表（青森市）
2026-10-21（水）9:05〜19:30	第14報（総務省への報告代行の案内）、第15報（LINE・X・Facebook連携の再設定依頼）、第16報（FAX・放送連携・ファイル添付の一時制限）、第17報（不正メール1,423,428通のうち少なくとも869,575通は同社保有アドレス宛てではない、ダークウェブ調査を予定）、第18報（第16報の制限を解除）（SpeeCAN RAIDEN お知らせ）
2026-10-22（木）	第19報（10:40、外部システムからのAPI連携機能を停止）、第20報（16:05、SpeeCAN RAIDENでログイン時2段階認証の設定を依頼）（SpeeCAN RAIDEN お知らせ）
2026-10-23（金）	記者会見。社長が「攻撃は続いている」と述べ、再停止の可能性に言及（産経ニュース、ANN（Yahoo!ニュース））。17:35に第21報で報告書・説明資料を公開、17:55に第22報でライデン・スクールの2段階認証設定を依頼（SpeeCAN RAIDEN お知らせ）
2026-10-26（月）18:40	第23報。同意を得た契約者分の「行政機関の漏えい等事案報告書」（受付番号：340766800343）を10月23日に個人情報保護委員会へ報告したと告知。残りは今月中をめどに回答を受け、順次報告する予定（SpeeCAN RAIDEN お知らせ）

発表内容の整理

事実（アルカディアの発表）

項目	内容
対象サービス	SpeeCAN RAIDEN、ライデン・スクール（学校・幼稚園向けの一斉配信）
調査対象の環境	raiden.ktaiwork.jp、raiden2.ktaiwork.jp、raiden3.ktaiwork.jp、raiden2.speecan.jp、s.ktaiwork.jp、s2.ktaiwork.jp
緊急停止	raiden3.ktaiwork.jp、s2.ktaiwork.jp（10月13日11時から。侵入経路になっていた環境）。【2026-10-15追記】10月15日15時ごろ復旧
対象項目	登録されている連絡先・担当者・契約者情報（名前、メールアドレス、電話・FAX番号）、配信履歴にある本文
最大件数（推定）	メールアドレス約313万6000件、電話番号約10万5000件、FAX番号約1万5000件
対象外	クレジットカードなどの決済情報（扱っていない）
実施した対応	侵入経路の遮断、アクセス元IPアドレスの拒否、停止しなかった環境のサーバー点検（不正なプログラムの設定はなかった）
問い合わせ	個人情報相談窓口 050-5830-0750、info@arcadia.co.jp（平日9時〜17時）

なお、アルカディアの10月13日付のPDFでは、対象項目は「連絡先データ・担当者・契約者情報」だった。同日18時47分のブログ更新で、配信履歴の本文が加わっている（PDF）。

事実（主な自治体の発表）

自治体	対象になりうる情報	出典
さいたま市	防災行政無線メールのメールアドレス3万4783件、災害時防災情報電話サービスの氏名・電話番号73件	さいたま市
横須賀市	防災情報メール4万7065人のメールアドレス、防災情報FAX 996人の氏名（事業者名）・電話・FAX・メールアドレス、防災情報電話11人の氏名・電話・FAX、防犯あんしんメール1万848人のメールアドレス。4サービスを停止	横須賀市
大分県	県民安全・安心メール等配信システムの登録者全員2万7667件のメールアドレス、職員参集・安否確認システムの県職員1万269人分の氏名・所属・職員番号・メールアドレス。新規登録を停止し、既存登録者への配信は継続	大分県、OBS大分放送
大分市	防災メールのメールアドレス、緊急情報の電話・FAX配信の氏名・電話・FAX番号、職員参集システムの氏名・所属・職員番号・メールアドレス	大分市
宮崎県	防災・防犯情報メールの登録者のメールアドレス等3万8959件。NECネッツエスアイとの業務委託を通じてアルカディアが運用するシステムを利用	宮崎県
岡山市	防災メールの配信先約4500件、市職員のメールアドレス・電話番号・所属・職員番号など約5000件、ダム放流通知先の氏名・電話番号約350件	ITmedia NEWS
箕面市	市民安全メールと防災アプリ「ハザードン」による市からのお知らせ配信が停止	箕面市
大崎地域広域行政事務組合消防本部（宮城県）【2026-10-15追記】	NET119緊急通報システムの登録者45名（氏名、住所、電話番号、障害の状況、血液型、勤務先）、119RAIDENの80名。NET119の新規登録を停止	大崎消防本部
岡山県警【2026-10-16追記】	災害時の職員安否・参集確認システムの警察官・職員ほぼ全員約4,000人分（氏名、所属名、個人携帯のメールアドレス）。県民情報は含まない。システムは稼働継続	朝日新聞、KSB
赤磐市【2026-10-16追記】	NET119登録者28人分（住所・氏名・生年月日など）、119RAIDENの消防職員・団員・市幹部ら193件（メール・氏名・電話）。流出の事実は未確認	KSB、朝日新聞
兵庫県警【2026-10-17追記】	災害時の警察官らの安否確認システムの約1万3千人分（メールアドレス、氏名の一部、所属を示すコード）。システムは稼働継続	共同通信（東京新聞）
兵庫県【2026-10-17追記】	土木部・農林水産部・危機管理部などの職員の氏名・メールアドレス・電話番号計約3000件（重複含む、退職者含む）。県民への影響はないとしている	産経ニュース
神戸市【2026-10-17追記】	市職員約1万3000人分の氏名・所属・個人のメールアドレスなど	産経ニュース
加古川市【2026-10-17追記】	市職員約2000人の氏名・個人メールアドレスなど	産経ニュース
和歌山県教育委員会（県立21校）【2026-10-17追記】	生徒・保護者向け連絡メールの登録者約1万6000人分（名前、メールアドレス、在籍する学校名・学年など）	テレビ和歌山、47NEWS
札幌市消防局【2026-10-17追記】	NET119緊急通報システムの登録者の個人情報が流出した恐れ。新規利用者登録の受付を一時停止	札幌市
旭川市【2026-10-17追記】	防災情報配信サービス（SpeeCAN RAIDEN）を緊急停止していたが、10月16日に復旧を発表。漏洩の影響範囲は調査中	旭川市
名古屋市【2026-10-22追記】	NET119の通報45名（氏名、生年月日、性別、住所、電話、メール、FAX、登録時のその他の情報）と練習通報139名（メールアドレス）の計184名。ほかに消防局職員29名分	名古屋市
青森市【2026-10-22追記】	NET119登録者33件（氏名、生年月日、性別、住所、電話（FAX）番号、メールアドレス）。災害情報メールは調査中	青森市

自治体ごとの数字は登録件数で、漏洩が確定した件数ではない。横須賀市は「漏洩した件数及び詳細な範囲については確定しておらず」としている。OBS大分放送によると、アルカディア側は不正侵入を受けたサーバーと県の情報が保管されているサーバーは別で、実際に外部へ流出したかの確認は取れていないと説明した。

【2026-10-14追記】事実（NET119・119RAIDEN・総務省）

項目	内容
NET119	対象URL: net119.speecan.jp、net119fd.speecan.jp。漏洩の可能性: 利用者の名前、生年月日、性別、住所、電話番号、メールアドレス、FAX番号、他サービス登録時の情報。最大約1万3000件。映像通報は漏洩の可能性なし。【2026-10-17追記】第11報で「9,020件のメールアドレスに紐づく個人情報」に更新し、要配慮個人情報は漏洩していないと説明
119RAIDEN	対象URL: fs119.ktaiwork.jp（fs119.speecan.jp・119r.speecan.jpは対象外と訂正）。連絡先の名前、メール・電話・FAX、担当者・契約情報、配信履歴の本文。最大: メール約9万7000件、電話約1万7000件、FAX約400件
サービス継続	NET119・119RAIDENは停止せず通常利用可能。全サービスの不正プログラム有無を調査中
自治体の停止	13日午後9時時点で36自治体が防災メール等を停止（総務省）。利用自治体は約800（アルカディア、産経ニュース）

考察

まず、公表された「最大約313万6000件」は、6つの環境に入っている宛先を足し上げた推定の上限とみられる（考察）。同じ人が複数の自治体や複数のメニューに登録していれば重複するし、OBSの報道にあるように侵入されたサーバーとデータを置いたサーバーが別なら、実際に攻撃者が届いた範囲はもっと狭いかもしれない。ただ、アルカディアは13日夕方の更新で対象項目に配信履歴の本文を加えており、調べるほど範囲が広がる局面にある。数字が下がる前提で構えるのは早い。

次に、配信履歴の本文が対象に入ったことの意味だ。住民向けの防災メールの本文の多くはもともと公開を前提にした情報だが、大分県や大分市、岡山市の発表にあるように、この基盤は職員参集・安否確認やダム放流の通知先への連絡にも使われていた。学校向けのライデン・スクールも対象環境に含まれる。こうした用途の本文には、外に出すことを想定していない内部の連絡が含まれうる（考察）。どの用途の本文がどこまで含まれるかは、自治体ごとに確かめる必要がある。

三つ目は、自治体が事案を知った経路だ。アルカディアが不審な挙動を確認したのは11日16時30分だが、さいたま市は13日12時50分に市民から不審メールの問い合わせを受け、その2分後に事業者に確認して覚知したと説明している。横須賀市も登録者からの問い合わせが確認のきっかけだった。大分県には13日午後に事業者側から連絡が入ったと報じられている。発注元への通知が、住民の目に見える被害と前後してしまった（考察）。祝日を挟んだとはいえ、委託先の検知から発注元への連絡までに約2日かかっている。

【2026-10-17追記】考察（第11報と兵庫県内の公表）

第11報のNET119の書き方は「9,020件のメールアドレスに紐づく」情報で、第4報の「最大約1万3000件」からは絞り込まれた。ただし、これも「漏洩した可能性」の範囲で、実際に持ち出されたかどうかは書かれていない（考察）。要配慮個人情報が漏洩していないとした一方、大崎消防本部が10月14日に公表した項目には「障害の状況」「血液型」が含まれていた。アルカディアがどの項目を要配慮個人情報として確認したのかは、第11報からはわからない。

兵庫県警・神戸市・兵庫県・加古川市の公表は、いずれも住民向けの防災メールではなく職員の安否確認・参集の用途で、個人の携帯のメールアドレスと所属がまとまって登録されていた。岡山県警・岡山市・大分県と同じ形で、災害時に職員を呼び出すための名簿が、攻撃者には「どの組織の誰に、どの宛先で届くか」がわかる一覧になる（考察）。

関係しそうな既知の手口

事実（既知の知見）

JPCERT/CCは10月8日（9日更新）の注意喚起で、国内組織で相次ぐ漏えいについて4つの類型を示し、すべての事案で同一の攻撃手法が使われていることを示すものではないとした（JPCERT/CC、各機関の注意喚起の記事）。
国家サイバー統括室（NCO）は注意喚起で、サプライチェーンを通じた侵害への対策として、委託先の対策状況の把握、委託契約のセキュリティ要件、委託先への提供情報の最小化と業務終了後のデータ削除を挙げている（同記事）。
問い合わせ管理を受託するスカラコミュニケーションズへの不正アクセスでは、同じサーバー上にある利用企業の情報が取得された可能性があるとされ、大和証券など最大5社の延べ約71万件が対象になった（大和証券の記事）。

考察

一つの基盤に多くの発注元が載る構造：防災メールは自治体ごとに名前も登録ページも違うが、実際には同じ事業者の同じ環境で配信されていた。宮崎県のように、県→NECネッツエスアイ→アルカディアと委託が重なる例もある。住民から見れば「市の防災メール」でも、どの事業者のどの環境に宛先が置かれているかは、発注元の自治体ですら意識しにくい（考察）。スカラの事案と同じく、一つの環境が破られると、発注元を問わず一度に影響が出る。
宛先の一覧は、それ自体が詐欺の材料になる：防災メールの登録アドレスは、どの自治体の、どの種類の情報（防災、防犯、高齢者の見守りなど）を受け取っている人かという属性とひも付いている。自治体名や防災情報を名乗るメールは、受け取った人にとって開く理由がある（考察）。ITmedia NEWSは一部の自治体で対象のアドレスにカード会社を名乗る不審なメールが届いていると報じ、テレビ朝日は横須賀市がそうしたメールを確認していると報じた（テレビ朝日）。今回の情報との関係は確認されていない。
止めると防災の連絡が止まる：事業者が侵入経路の環境を止めた結果、各地で防災メールや電話・FAXの配信、職員参集の連絡が止まった。防災の仕組みでは、停止そのものが住民の安全に関わる。代わりの経路を持っていた自治体は、ホームページ、SNS、防災行政無線で発信を続けている（横須賀市など）。

利用者・運用者がいまできること

事実（発表に基づく）

身に覚えのない不審なメールは、URLへのアクセス、添付ファイルの開封、個人情報の入力・返信をせず削除する（横須賀市、さいたま市など）。
自治体やサービス提供事業者を装って個人情報の入力を求めるメールが送られる可能性がある（横須賀市、宮崎県）。
防災メールが止まっている自治体では、ホームページ、公式SNS（X、LINEなど）、防災行政無線などで情報を発信している（横須賀市）。
事業者への問い合わせはアルカディアの個人情報相談窓口（050-5830-0750）。

考察（利用者向け）

自分が登録している防災メールが、どの自治体のものか、配信が止まっていないかを、自治体のホームページで確認する。止まっている間は、気象庁の防災情報や自治体の公式SNSなど、別の経路を一つ用意しておく。
「防災メールの再登録」「配信設定の確認」「登録情報の更新」を求めるメールのリンクは開かない。再登録が必要なら、自治体のホームページから案内が出るはずだ。
職員参集システムに登録されている自治体職員は、氏名・所属・職員番号を知っている相手からの連絡にも注意する。

考察（自治体・運用者向け）

住民向けの配信サービスについて、直接の委託先だけでなく、実際に宛先を保管し配信している事業者と環境（ドメイン）を一覧にしておく。今回は、自治体の登録ページのドメインが調査対象の環境と一致するかが、影響の見極めの手がかりになった。
委託先との契約で、不正アクセスの疑いを検知した段階で発注元に知らせる期限と、連絡の窓口（休日・夜間を含む）を決めておく。
防災メールなど止められない仕組みは、配信基盤が止まったときの代わりの手段（別の事業者、SNS、防災行政無線、ホームページ）を、平時から手順書にしておく。
配信履歴の保存期間を見直す。過去の本文を長く残すほど、漏れたときの範囲が広がる。

参考リンク

原文をGitHubで読む ↗