アルカディア(大阪府箕面市)の一斉配信サービスへの不正アクセスは、住民向けの防災メールだけの話ではありません。自治体が職員を呼び集めたり、災害のときに職員の無事を確かめたりするために使うシステムの登録情報も、漏えいした可能性があります。神戸市は職員約1万3000人分と発表しました。
何が起きた? 職員向けの連絡にも使われていたサービス
アルカディアの「SpeeCAN RAIDEN」は、メールや電話、FAXで一斉に知らせを送るサービスです。住民向けの防災メールのほか、職員への連絡や安否確認にも使われていました。
アルカディアの最初の報告では、漏えいした可能性がある情報は、連絡先の名前、メールアドレス、電話・FAX番号、担当者、契約情報、それに履歴として保存されている配信の本文です。件数は推定で、メールアドレスが最大約313万6000件、電話番号が約10万5000件、FAX番号が約1万5000件です。クレジットカードなどの決済情報は扱っておらず、対象外としています。
住民向けの防災メールのことは生駒市など奈良の防災メールが自動配信停止 不正アクセスで何が起きたで、消防の119番の仕組みのことは消防の連絡と聴覚障害者の119番にも不正アクセス 箕面のアルカディアで取り上げました。この記事では、職員の側の情報を見ていきます。
神戸市: 職員約1万3000人分の氏名や所属
神戸市は10月14日、職員への情報伝達に使っている「職員情報伝達メールシステム」で、個人情報が漏えいした可能性があると発表しました。
神戸市の10月14日の発表。職員約1万3000人分の氏名などが対象出典: 神戸市(引用)
神戸市の発表によると、漏えいした可能性があるのは次の情報です。
- 氏名、職員番号、所属、メールアドレス(約1万3000人分)
- 電話番号(約80人分)
アルカディアから神戸市に連絡があったのは、10月13日10時50分ごろです。発表の時点でシステムは緊急停止中で、情報の流出は確認されていないとしています。そのうえで、詐欺などのメールが送られるおそれがあるとして、職員に注意を呼びかけました。その後の再開については、神戸市のページには書かれていません。
香川県: 県や市町の「職員安否確認システム」
香川県は10月13日、県の防災情報メールに登録されたメールアドレス約2万5566件(10月5日時点)が漏えいした可能性があると発表しました。あわせて、県や市町が職員の参集や安否確認に使う「職員安否確認システム」に登録した職員名、メールアドレス、職員番号、所属なども対象になり得るとしています。こちらの登録数は調査中です。
香川県によると、防災情報メールの登録アドレスには、実在のクレジットカード会社を装う不審なメールが届いたことが確認されています。配信は10月15日午後3時ごろに再開しました。
県警の発表は確かめられず
報道では、いくつかの県警でも、災害のときに職員の安否を確かめるシステムに登録した警察官や職員の情報が流出した可能性があると伝えられています。
ただ、報道で名前が挙がった県警の公式サイトの新着情報やお知らせを10月21日朝に確かめたところ、この件の発表は見当たりませんでした。発表を確かめられた県警はありません。人数や中身は、県警が公式に発表した段階で確かめる必要があります。
原因: 添付ファイルのサーバーの弱点から
アルカディアは10月19日、これまでの経過をまとめた報告書を公開しました。
アルカディアの10月19日の報告書。原因の説明と、10月12〜13日の対応の時系列出典: 株式会社アルカディア(引用)
報告書によると、添付ファイルを公開しているサーバーに、内部のURLにアクセスできてしまう弱点(ディレクトリパストラバーサル)がありました。そこから内部のソースファイルが取られ、設定ファイルにあったサービス同士のログイン用の秘密の鍵が知られました。その鍵を使ってアカウントIDへの総当たり攻撃が行われ、ログインした状態から内部の情報が取られたと説明しています。
報告書の時系列では、10月11日の朝6時台にアクセスが始まり、夜11時40分に社内の監視でデータベースの異常な負荷に気づいて、不正アクセスを検知したとしています。公式ブログの経緯では、10月11日16時30分に不審な挙動を確認したと書いています。侵入の経路は10月12日午前3時に遮断しました。
その後、仕込まれていた不正なプログラムからメールが送られました。報告書では、外に送られたメールの総数は142万3428通で、多くはクレジットカード会社からの残高確認のような内容で、フィッシング詐欺が疑われるとしています。
今後の対策としては、外部の会社による脆弱性診断、データベースへのアクセス方法の見直しと二段階認証、監視の強化、セキュリティ専門の第三者機関による調査をあげています。10月20日の公式ブログ(第13報)では、契約先に代わって個人情報保護委員会へ報告する手続きの案内を、10月19日にメールで送ったとしています。
暮らしと仕事への影響
職員の安否確認や参集のシステムには、勤め先の業務用のアドレスのほかに、私用のメールアドレスや携帯電話の番号を登録していることがあります。夜間や休日にも連絡を受けるためです。今回の件では、その私用のアドレスに、勤め先や関係する部署をかたるメールが届くおそれがあります。
アルカディアは、配信の本文の履歴も漏えいの可能性がある情報にあげています。職場からの一斉連絡の文面や担当者の名前が知られると、本物らしく見えるメールを作られやすくなります。
自治体や企業で連絡網を担当している人にとっても、ひとごとではありません。外部のサービスに職員の連絡先を預けているなら、どの情報を預けているかを把握しておく必要があります。
今日からできること
- 勤め先からの案内を確かめる: 自分が登録していたシステムが対象かどうかは、勤め先が知らせます。神戸市のように、職員向けに注意を出しているところもあります。
- 私用のアドレスに届くメールのリンクを開かない: 勤め先やカード会社をかたるメールが届いても、リンクや添付ファイルは開かず、ふだん使っている連絡先で確かめます。
- パスワードと登録内容を見直す: アルカディアは、サービスを使う団体に、ログインのパスワードを変えてから使うよう呼びかけています。勤め先から登録内容の見直しを求められたら、案内に沿って行います。
- 連絡網の担当者は、預けている情報を一覧にしておく: 名前、所属、私用の連絡先など、外部のサービスに何を登録しているかを把握しておくと、こうしたときにすぐ職員に知らせられます。
漏れたと分かったときの一般的な動き方は、相次ぐ大規模な情報漏えい この1か月で何が起きた? 件数の比較と、漏れたときの動き方を図解にまとめています。
大阪・関西では
関西では、神戸市のほか、滋賀県も職員の情報について発表しています。滋賀県は10月15日、環境放射線テレメータシステムの異常を担当の職員に電話などで知らせる仕組みにこのサービスを使っていたと公表しました。職員の電話番号と、担当部署の電話・FAX番号が漏えいしたおそれがあるとしています。県民への防災情報の提供には使っておらず、県民の個人情報は扱っていないとしています。
アルカディアは箕面市の会社です。報告書では、地元の警察(報告書の表記は「箕面市警察」)や大阪府警とも協議しており、アクセスログなどをもとに被害届を出す予定だとしています。
