製品 Lemma API証明の発行・検証の基盤Trust402エージェントに任せ、取引するSeal鍵を渡さない、エージェント時代のサインイン
ユースケース 製造・基幹インフラ検査記録アシュアランス金融・FinTech取引先レコード検証自治体・公共証明書レス手続き医療・ヘルスケア有資格者アシュアランス調達・サプライチェーン仕入先資格モニタリングメディア・コンテンツコンテンツ真正性サービス・小売グループ横断アイデンティティAI導入（業種横断）AI実行ガバナンス開発者・エージェント運用エージェント権限統制 ▸ 業界別ソリューション索引を見る
料金
リソース Critical BriefAI×信頼の最前線ブログ考え方と実装の記録ドキュメントAPI と仕様書検証センター検証・発行の実数運営会社FRAME00, Inc.お問い合わせ導入・取材のご相談用語集言葉の定義FAQよくある質問
始める ↗ EN
ホーム / Critical Brief / No. 044
No. 044 Pillar 01 · 来歴証明

SpeeCAN RAIDEN：自治体の防災メール基盤に不正アクセス、同じころ同じ送信元ドメインの偽メールが登録者に届いた(アルカディア・自治体公表)

届いた通知が自治体のものかを、送信元の表示とは別に確かめる層が無い

データ来歴 認証・認可
事案日
2026-10-11
公開日
2026-10-16
発行
Lemma Critical Team
関連 Pack
Pack A · Incident Response

TL;DR

自治体の防災メールや災害時の電話・FAX 連絡に使われる配信基盤「SpeeCAN RAIDEN」が、2026 年 10 月 11 日に第三者の不正アクセスを受けた。運営するアルカディアは、メールアドレス最大約 313.6 万件などが漏えいした可能性があると公表した。公表と前後して、防災メールと同じ @raiden.ktaiwork.jp を送信元に含む、クレジットカード会社を装ったメールが登録者に届いている。不正アクセスとの関係は確定していない。静岡市は、防災メールの送信元をブロックすると本物の防災情報も届かなくなると注意している。

検出は効いていた。アルカディアは不審な動きを検知し、翌日未明に侵入経路を応急措置で塞いだ。効かなかったのは、届いた通知が自治体の発したものかを、送信元の表示とは別に確かめる層である。

何が起きたか

  • システム: SpeeCAN RAIDEN。アルカディア(大阪府箕面市)が運営する一斉配信の基盤で、自治体の防災メールや、携帯電話を持たない住民向けの電話・FAX 配信などに使われている。10 月 14 日の続報で、消防向けの 119RAIDEN と、聴覚や言語に障害のある人がスマートフォンから 119 番通報する NET119 にも、不正アクセスの形跡が見つかったと公表された。
  • 漏えいの可能性がある情報: SpeeCAN RAIDEN は連絡先の名前、メールアドレス、電話・FAX 番号、担当者、契約情報、履歴に保存された配信本文(SpeeCAN RAIDEN では決済情報は扱っていないとされる)。NET119 は利用者の名前、生年月日、性別、住所、電話番号、メールアドレス、FAX 番号など。
  • 最大推定の件数: SpeeCAN RAIDEN はメールアドレス約 313.6 万件、電話番号約 10.5 万件、FAX 番号約 1.5 万件。NET119 は約 1.3 万件、119RAIDEN はメールアドレス約 9.7 万件など。アルカディアは「あくまでも推定値」としている。
  • 自治体側: 静岡市は、防災メールの市民 34,336 人分のメールアドレスと、市職員 6,915 人分の氏名・職員番号・所属名が漏えいしたことが判明したと公表した(アルカディアは漏えいを可能性としている)。さいたま市は 34,783 件、横須賀市は防災・防犯メールなど 4 つのサービスで計約 5.9 万人分を漏えいの可能性として挙げた。岡山市は、防災メール約 4,500 件に加え、職員の参集連絡用の約 5,000 件とダム放流の通知先約 350 件が登録されているとした。
  • 偽メール: 静岡市によれば、件名は「＜重要＞ご利用確認のお願い」、送信者名は実在のクレジットカード会社、送信元アドレスは「〇〇@raiden.ktaiwork.jp」。市は「@raiden.ktaiwork.jp」を防災メールで使う正しい送信元アドレスの一部と説明し、届いたメールはそれを悪用したなりすましだとしている。本件と関連している可能性があるメールという位置づけである。松本市・横須賀市にも登録者から同様の通報が寄せられたが、松本市は不正アクセスとの関係は現時点で不明としている。
  • 侵入の手口: 公表されていない。アルカディアは侵入経路を特定して遮断し、送信元 IP を拒否する設定をしたとしている。

公表された範囲で、経過は次の連鎖で成り立っている。

  1. 自治体が、防災メールの登録者の連絡先を、委託先の配信基盤に預けていた。
  2. 第三者がその基盤に不正にアクセスし、登録者の連絡先が外に出た可能性が生じた。
  3. 公表と前後して、登録者のアドレスに、防災メールと同じドメインを送信元に含む偽メールが届いた(不正アクセスとの関係は確定していない)。
  4. 受け取った人に残された手がかりは、送信者名と送信元アドレスの見た目だけだった。そのアドレスは、本物の防災メールと同じドメインだった。

時系列 — 公表と対応

  • 2026-10-11（日）16:30: アルカディアが、不正アクセスが疑われる不審な挙動を確認。
  • 2026-10-12（月・祝）3:00 ごろ: 侵入経路を塞ぐ応急措置を取り、影響範囲の調査を開始。
  • 2026-10-13（火）10:30 ごろ: アルカディアが、不正アクセスと個人情報漏えいの可能性を発表(さいたま市の公表による)。11:00 から SpeeCAN RAIDEN の一部を緊急停止。
  • 2026-10-13 12:50: 送信元アドレスにシステム名の文字列が入った不審メールを受け取ったと、市民がさいたま市に問い合わせ。市は 12:52 にアルカディアに確認し、不正アクセスを知った。横須賀市も、登録者からの不審メールの問い合わせを受けてアルカディアに確認している。
  • 2026-10-13 夕方: アルカディアが第 2 報で、侵入経路の特定と送信元 IP の遮断を報告。
  • 2026-10-14: アルカディアが、登録者への注意喚起の文例を自治体に提供。15:00 に NET119 と 119RAIDEN の形跡を公表。静岡市はなりすましメールの具体例を公表し、市長が臨時記者会見を開いた。
  • 2026-10-15: アルカディアが、個人情報保護委員会への報告と、警察や総務省の地方局などへの相談・通報を公表。15:00 ごろ停止していたサーバが復旧し、利用者にログインパスワードの変更を求めた。漏えいの範囲は引き続き調査中。

本件の事実は、アルカディアの続報(第 1 報〜第 9 報)と、さいたま市・静岡市・横須賀市・岡山市・松本市・森町の公表に拠る。侵入の手口と、実際に取得された情報の範囲は、執筆時点で公表されていない。件数は最大推定である。偽メールがどの経路から送られたか(基盤そのものから送られたのか、送信元を偽って外から送られたのか)も、公表されていない。

公表後の対応と各自治体の動きは次のとおり。

  • 配信の停止: 共同通信によれば、総務省は 13 日午後 9 時時点で 36 自治体がサービスを停止したと明らかにした。横須賀市は防災・防犯メールなど 4 つのサービスを止め、市の SNS や防災行政無線で代わりに発信するとした。岡山市は、停止中は防災メールの登録者への気象・避難情報や、職員への一斉連絡が送れないとした。
  • 登録者への注意喚起: 各自治体は、不審なメールの URL や添付ファイルを開かないよう呼びかけた。静岡市は、市が @raiden.ktaiwork.jp から送るのは防災情報だけだとしたうえで、不審メールの送信元をブロックしたり迷惑メールに設定したりすると、市の防災情報も届かなくなると注意している。
  • 届出: アルカディアと横須賀市が、個人情報保護委員会への報告を公表している。

なぜ止まらなかったか

この事案の失敗は、侵入を許したことだけでも、注意喚起が遅れたことでもない。届いた通知が自治体の発したものかを、送信元の表示とは別に確かめる層が無かったことにある。

検出は効いていた。アルカディアは不審な挙動から半日足らずで侵入経路を応急措置で塞ぎ、さいたま市は住民の問い合わせから 2 分で事業者に確認を取った。効かなかったのは、その手前である。防災メールの「本物らしさ」は、送信元のドメインという一つの表示に預けられていた。そのドメインを含む偽メールが届いた時点で、受け取った人が本物と偽物を分ける材料は無くなる。静岡市の注意書きがこの構造を示している。偽メールを防ぐために送信元をブロックすれば、本物の防災情報も一緒に止まる。

防災メールは、受け取った人がすぐに動くことを前提にした通知である。避難情報、職員の参集、ダム放流の連絡は、真偽を確かめる時間が短い。今回の偽メールはカード会社を装っていた。しかし同じドメインから届く限り、自治体の避難情報を装う偽メールも、見た目では区別できない。

「@raiden.ktaiwork.jp」は、静岡市防災メールで使用している正しい送信元アドレスの一部です。しかし、今回確認されたメールは、これを悪用したなりすましメールであり、クレジットカード会社から送信されたものではありません。 — 静岡市

同じ構造は、これまでの Brief にも現れている。Photo ZIP では、正規の配信基盤を経由したメールが SPF・DKIM・DMARC をすべて通過した。メール認証は送信経路を確かめるが、誰が書いたかは確かめない。Revolut では、国の認証メール網から届いた開示要求が、経路の正しさを理由に通った。どちらも、届いた経路の正しさが、書いた主体の正しさの代わりに使われていた。今回の偽メールの経路は公表されていないが、送信元の表示を本物と見なすほかない点は同じである。

証明があれば、何が変わるか

配信を一つの基盤に委託すること自体は、やめる必要がない。事前証明が一段挟まるとすれば、それは送信元の表示を増やすことではない。「この通知は、この自治体が発したものか」を、配信経路とは別に、受け取る側が確かめられる一段である。

Lemma がこの落差に対して提示する設計は次の通りである。

  • 発行元を通知の中身に束縛する：自治体が配信する通知の本文に、自治体の鍵で発行元の証明を付ける。鍵は配信基盤に預けず自治体が持つので、基盤のドメインやアドレスを使えても、証明は作れない。証明には発行日時と配信の宛先も含め、配信履歴から抜き出した本物の通知を別の時に送り直しても通らないようにする。
  • 受け取る側が、行動する前に照合する：自治体の公式アプリや確認ページで、届いた通知の証明を照合できるようにする。照合できない通知は、送信元の表示が本物と同じでも「自治体の発したものではない」と示す。照合する人にとっては、偽物を避けるためにドメインごと本物を止める必要がなくなる。
  • 配信の指示を、自治体の許可と照合する：偽の配信が基盤そのものから出る場合に備え、基盤に届く配信の指示が、自治体が許可した範囲(対象の登録者、種別、件数)にあるかを配信の前に照合し、範囲外の配信は実行しない。この照合は、基盤が侵害されても飛ばせないよう、基盤の外で検証できる形にする。

事後の検出との違いはここにある。検出は、不審な挙動や住民の通報で働く。気づいた時点で、偽メールはすでに登録者に届いている。証明は、届いた一通ごとに発行元を問う。検出の層と、この層は代替ではなく補完の関係にある。

注：証明が示すのは、通知が登録された発行元から出たことまでで、基盤への侵入や連絡先の流出そのものは防がない。また、受け取る側が照合の手段を持たなければ、通知はこれまでどおり見た目で判断される。

Sources

「AI時代のサイバー防衛に残された、最後の層」Pillar 01 — 来歴証明

本件の一次資料は、運営事業者と利用自治体の自己公表のみで、本Brief執筆時点で、独立した第三者による調査結果は公表されていない。影響を受けた自治体の総数は、アルカディアの公表には記載がない(共同通信は、利用自治体を約 800 とするアルカディアの説明を報じている)。

本資料は公開情報の構造化分析であり、特定組織への監査・診断・推奨ではありません。

この Brief を引用する

Lemma Critical Team. (2026).
"SpeeCAN RAIDEN：自治体の防災メール基盤に不正アクセス、同じころ同じ送信元ドメインの偽メールが登録者に届いた(アルカディア・自治体公表) — 届いた通知が自治体のものかを、送信元の表示とは別に確かめる層が無い".
Lemma Critical Brief No.044. Lemma / FRAME00, Inc.
https://lemma.frame00.com/ja/critical/briefs/044-arcadia-speecan-raiden-disaster-mail-spoofing/
関連する BriefRelated
No. 151 TOPPAN：手作業の送付で、損保ジャパンの契約者 177,426 名分のリストが別の保険会社向けの ZIP に紛れ込み、そのまま送られた(保険料控除証明書発行サービス) データ来歴 No. 127 法務省が「声」をパブリシティ権の保護対象と明記した データ来歴 No. 120 TikTok の AI ラベル 30 億件と、AI 生成の「司会者」550 本超の偽情報が同時に成立していた データ来歴
Lemma

確かめられないものを、
業務に入れない。

Lemma は、データや AI の実行に暗号技術で証明を付け、受け取った側が発行者に問い合わせることなく真正性を確認できるようにします。検出はそのままに、その前段へ一層を足す構成です。

エンタープライズ相談 検証センターを見る