選び方・手順 2026.10.24 読了約16分

アルカディア「SpeeCAN RAIDEN」への不正アクセス（2026年10月）｜対象とメールの登録者・契約している組織がやること【随時更新】

（最終更新：10 月 24 日 03:18）アルカディア「SpeeCAN RAIDEN」への不正アクセスについて、漏えいの可能性がある情報と、メールの登録者・契約している組織がやることを公式の発表で整理します。

最終更新：10 月 24 日 03:18（日本時間） 続報が出たら追記します。
すぐ見る：よくある疑問／メールに登録している人／契約している組織／技術的な詳細／経緯

ひとことで言うと

防災メールなどの一斉配信サービスに入り込まれ、登録者の連絡先が漏れたおそれ。偽メールも送られた（10 月 23 日の第 22 報まで）

自治体の防災メールや職員の安否確認に使われるアルカディアの「SpeeCAN RAIDEN」に、10 月 11 日に外から入り込まれた。同社は、すべてのサービスが漏れたおそれの対象だとしている
漏れたおそれがあるのは、最大でメールアドレス約 3,136,000 件・電話番号約 105,000 件・FAX 番号約 15,000 件（推定で、調査は続いている）。カードなどの支払いの情報は扱っていない
10 月 13 日には、同社のシステムから、カード会社を装うような偽メール 1,423,428 通が外へ送られた

どうすればいい？

よくある疑問と答え

自分は対象？ 登録しているメールの運営元（自治体や勤め先）のお知らせで確かめます。アルカディアから住民へ直接メールで知らせることはしていないとしています。
→ 利用していた組織の公表の例
何が漏れた？ メールアドレス・電話番号・FAX 番号や、配信した文の中身などです。カード情報は、もともと扱っていません。
→ サービスごとの中身と件数
不審なメールが届いたら？ リンクや添付ファイルは開かず、名前・住所・パスワード・口座の情報も入れないでください。カード会社の残高確認のような偽メールが多く送られています。
→ 外へ送られた偽メール
防災メールは今も届く？ 10 月 15 日にすべてのサービスが元に戻りました。外部のシステムとの連携など、一部の機能はまだ制限されています。
→ 止まっている機能
どうやって入られた？ 添付ファイルを置くサーバーの弱点から、ログインに使う秘密の鍵を取られたと説明しています。仕組みの担当者向けに、流れを下にまとめています。
→ 技術的な詳細
サービスを契約している組織は？ 管理画面のパスワードを変え、「ログイン時２段階認証」を設定します。SNS との連携の設定のし直しや、報告の代行の案内もあります。
→ 契約している組織がやること

詳しくは：メールに登録している人／契約している組織

この記事では、株式会社アルカディア（大阪府箕面市）の不正アクセスと個人情報漏洩の可能性について、同社の公式ブログ（第 1 報〜第 22 報）と 10 月 19 日・23 日の報告書、サービスを利用していた神戸市・香川県の公表だけをもとに、何が起きたのかと、メールに登録している人・サービスを契約している組織がやることを整理します。アルカディアは防災・減災の仕組みなどを手がける会社で、「SpeeCAN RAIDEN」は、登録した人へメールなどで情報を一斉に届けるサービスです。

何が起きたか

10 月 23 日の報告書までに分かっていることです。アルカディアによると、10 月 11 日、SpeeCAN RAIDEN の添付ファイルを公開しているサーバーに外から入り込まれ、中の情報を取られました。同じ日の 23 時 40 分に、社内の見張りの仕組みが異常に気づいています。翌 12 日の午前 3 時に、入り込まれた経路をふさぎました。

漏れたおそれがある情報（アルカディアの発表）
サービス	中身と件数
SpeeCAN RAIDEN・ライデン・スクール	連絡先の名前・メールアドレス・電話番号・FAX 番号、担当者、契約情報、履歴として保存されている本文に書かれた内容。最大件数はメールアドレス約 3,136,000 件・電話番号約 105,000 件・FAX 番号約 15,000 件（10 月 13 日の第 2 報。あくまでも推定値で、調査を継続中）
NET119	利用者の名前・生年月日・性別・住所・電話番号・メールアドレス・FAX 番号、ほかのサービスの登録時に入力した情報。9,020 件のメールアドレスに紐づく情報で、既往歴などは含まれない。要配慮個人情報が漏えいしていないことは確認できているとしている。映像通報は、現時点で漏えいの可能性はない
119RAIDEN（fs119.ktaiwork.jp の URL だけ）	連絡先の名前・メールアドレス・電話番号・FAX 番号、担当者、契約情報。メールアドレス約 97000 件・電話番号約 17000 件・FAX 番号約 400 件
含まれないもの	クレジットカードなどの決済情報（SpeeCAN RAIDEN では扱っていない）

アルカディアは、ほかのサービスと社内の会計のシステムにも入り込まれた跡があり、すべてのサービスが漏れたおそれの対象だとしています。漏れたおそれがある個人情報の件数は、NET119 の 9,020 件を除いて、まだ調べています。

10 月 23 日の説明資料では、2026 年 9 月末時点の契約数を、官公庁 875 件（うち自治体 715 件・消防署 312 件・警察署 22 件）、企業ほか 242 件、学校 584 校としています。

外へ送られた偽メール

攻撃者は、アルカディアのシステムに、あとから入り込むための裏口（バックドア）を仕掛けていました。10 月 13 日の 1 時 17 分から 7 時 16 分までのあいだ、不正なプログラムによって、同社のシステムから外へ不正なメールが送られています。

送られた数 1,423,428 通。うち少なくとも 869,575 通は、アルカディアが持っているメールアドレスへの配信ではなかったと分かった
中身なりすましメール（フィッシング詐欺）の疑い。多くは、クレジットカード会社からの残高確認のような内容だとしている
これからの調査 外部の機関がダークウェブ（情報の売り買いなどに使われる、ふつうの検索では見つからない場所）を調べ、結果は後日知らせるとしている

止まっている機能

10 月 13 日 11 時から、入り込まれた経路になった SpeeCAN RAIDEN（raiden3）とライデン・スクール（s2）を約 52 時間止めました。15 日 15 時 10 分に、すべてのサービスが元に戻っています。その後も、調査と確認のために一部の機能を制限しています。

外部システムからの API 連携（10 月 22 日の第 19 報） 外部のシステムからの連携ができないため、SpeeCAN RAIDEN から手動で発信する必要がある。アルカディアのオプションの気象情報の連携には影響しない
FAX・放送連携・ファイル添付（10 月 21 日の第 16 報） 同じ日の第 18 報で、調査と確認が終わったとして制限を解いた

利用していた組織の公表の例

サービスを利用していた組織も、自分の公式サイトで公表しています。ここでは、アルカディアのサービスであることを明記している例を載せます。

神戸市（10 月 14 日） 職員への情報伝達に使っている「職員情報伝達メールシステム（SpeeCAN RAIDEN）」で、職員の氏名・職員番号・所属・メールアドレス（約 13,000 人分）と電話番号（約 80 人分）が漏洩した可能性がある。情報の流出は現時点で確認されていないが、詐欺などのメールのおそれがあるとして、職員に注意を呼びかけた
香川県（10 月 13 日） 「防災情報メール」の登録メールアドレス約 25,566 件（令和 8 年 10 月 5 日時点）と、県や市町が職員の参集や安否確認に使う「職員安否確認システム」に登録した職員名・メールアドレス・職員番号・所属など（登録数は調査中）が漏洩した可能性がある。配信は 10 月 15 日午後 3 時頃に再開。登録者のメールアドレスに、実在のクレジットカード会社を装う不審なメールが確認されたとしている

ほかにも利用していた組織があります。自分が登録しているメールの運営元（自治体・勤め先など）の公式サイトに、お知らせが出ていることがあります。

メールに登録している人がやること

自治体の防災メールや、勤め先の安否確認・連絡のメールに登録している人に向けた案内です。アルカディアは、住民への案内は個人情報保護法の目的外利用になるため、同社から直接メールを送ることはしていないとしています。自分が対象かどうかは、登録しているメールの運営元のお知らせで確かめてください。

心当たりのない送り主や、不審なメッセージに書かれた URL・添付ファイルを開かない（アルカディアが第 3 報で示した注意の呼びかけ）
不審な連絡に、氏名・住所・パスワード・口座情報などの個人情報を伝えたり入力したりしない

次に読む：個人情報が漏れたと連絡が来たときにやること／ニュースメールの登録者に不審なメールが届いた千葉日報社の件

経緯

アルカディアのサービスへの不正アクセスの経緯（新しい順）
日付	できごと
2026 年 10 月 23 日	報告書と説明資料を公開（第 21 報）。アルカディアの会社のサイトにも、一連の対応のお知らせを掲載。ライデン・スクールにも「ログイン時２段階認証」の設定を求めた（第 22 報）
10 月 22 日	外部システムからの API 連携を停止（第 19 報）。SpeeCAN RAIDEN の「ログイン時２段階認証」の設定を求めた（第 20 報）。同じ日に、10 月 21 日に公表された PHP の脆弱性への 1 次対応を終えたとも公表（今回の不正アクセスとの関係は発表に無い）
10 月 21 日	LINE・X・Facebook の連携の設定のし直しを案内（第 15 報）。不正なメール 1,423,428 通のうち少なくとも 869,575 通は、同社が持つアドレスへの配信ではなかったと公表（第 17 報）。FAX などの機能の制限と解除（第 16 報・第 18 報）
10 月 19 日〜20 日	経過をまとめた PDF を公開（第 12 報）。契約者に個人情報保護委員会への代行報告の案内（第 13 報）、代理店に総務省への代行報告の案内（第 14 報）をメールで送った
10 月 16 日	個人情報保護委員会への報告を、アルカディアが代行する方向で準備していると公表（第 10 報）。NET119 の件数を 9,020 件と公表（第 11 報）
10 月 14 日〜15 日	NET119 と 119RAIDEN も漏えいの可能性の対象と公表（第 4 報〜第 6 報）。15 日 15 時 10 分に止めていたサーバーを復旧し、すべての利用者にログインパスワードの変更を求めた（第 9 報）
10 月 13 日	1 時 17 分〜7 時 16 分に不正なメールが外へ送られた。公式ブログで個人情報漏えいの可能性を公表し（第 1 報・第 2 報）、raiden3 と s2 を緊急停止。所管の警察署と JPCERT/CC（国内のセキュリティ事故の調整を担う専門機関）に相談
10 月 11 日〜12 日	11 日 6 時 26 分に攻撃者がアクセスを始め、23 時 40 分に不正アクセスを検知。12 日 3 時に侵入の経路を遮断し、15 時 20 分に個人情報保護委員会へ速報

契約している組織の担当者がやること

SpeeCAN RAIDEN・ライデン・スクール・NET119・119RAIDEN を契約して管理している組織（自治体・消防・警察・学校・企業など）に向けた、アルカディアの案内です。

ログインパスワードを変えてから使う（第 9 報）。そのうえで「ログイン時２段階認証」を設定する。ユーザー名とパスワードに加えて、メールに届く確認コード（送信から 15 分間だけ有効）で本人を確かめる仕組み（第 20 報・第 22 報。設定の手順書は公式ブログにある）
LINE（お友達全員・セグメント配信）・X・Facebook と連携しているなら、案内に沿って設定し直す。LINE はチャネルシークレットを発行し直して保存する。連携の情報をほかの事業者と共有しているなら、新しい情報を共有し直す（第 15 報）
外部システムからの API 連携が止まっている間は、SpeeCAN RAIDEN から手動で発信する。外部システムがエラーを出すことがあるため、その業者にも影響を確かめる（第 19 報）
個人情報保護委員会への報告は、アルカディアが代行する方向で、委員会と相談して準備している。代行には各契約者の同意が要るため、10 月 19 日に送られた案内メールを確かめて入力する（第 10 報・第 13 報）。代理店には、総務省への代行報告の案内が 10 月 20 日に送られている（第 14 報）
登録者へ、不審なメールやメッセージへの注意を呼びかける（第 3 報）

問い合わせ先は、アルカディアの個人情報相談窓口（050-5830-0750・info@arcadia.co.jp・午前 9 時〜午後 5 時、土日祝・年末年始を除く）です。電話がつながりにくいときはメールで、と案内しています。

技術的な詳細（システム担当者向け）

ここからは、メール配信や Web サービスを運用している担当者・エンジニア向けです。10 月 19 日・23 日の報告書と公式ブログに書かれた攻撃の流れと対応を、発表の言葉に沿って並べます。

発表から分かる攻撃の流れと対応（10 月 23 日の報告書まで）
段階	発表の内容
入口の脆弱性	SpeeCAN RAIDEN の添付ファイルを公開しているメディアサーバーの、ディレクトリパストラバーサル脆弱性（本来は見られないファイルに外部から届いてしまう弱点）。10 月 11 日 6 時 26 分に攻撃者がアクセスを開始
認証情報の窃取	この脆弱性から設定ファイルを取得され、サービス間の認証に使うシークレットキーが流出
ログインと情報の取得	アカウント ID への総当たり（ブルートフォース）でログインされ、内部情報を取得された
検知と遮断	10 月 11 日 23 時 40 分、社内のシステム監視がデータベースの異常な負荷に気づき検知。12 日 3 時に侵入の経路を遮断
バックドアと不正送信	システムにバックドアが仕掛けられ、10 月 13 日 1 時 17 分〜7 時 16 分に不正なプログラムから不正なメール 1,423,428 通が外部へ配信された
改ざんと横への広がり	raiden3 のデータベースで一部のデータが書き換えられ、10 月 15 日に手作業で修正。NET119・旧 119RAIDEN と社内の会計のシステムのデータベースにも不正アクセスの痕跡
封じ込めと復旧	10 月 13 日 11 時から raiden3 と s2 を約 52 時間停止し、15 日 15 時 10 分に全サービスを復旧。全利用者にログインパスワードの変更を求め、「ログイン時２段階認証」（メールで届く 15 分間有効の確認コード）を導入。外部システムからの API 連携は停止中。LINE はチャネルシークレットの再発行を案内

この記事での整理です。この件は「公開用のサーバーの小さな弱点 → 設定ファイル → 秘密の鍵 → 総当たりでのログイン → 内部への侵入と、配信の仕組みの悪用」とつながりました。自社のサービスでは、次の点を確かめておきます。

ファイルを返す処理で、利用者が渡したパスを検証しているか（../ などで公開用のフォルダの外に出られないか）。公開用のフォルダに設定ファイルを置いていないか
シークレットキーや API キーを、事故のときにすぐ出し直せるか。出し直したときに連携先へ届ける手順があるか
ログインの試行に回数の上限や遅延（レート制限）があるか。管理画面に 2 段階認証があるか
メールの送信量・送信先が急に変わったときに気づけるか（今回はデータベースの負荷で気づいている）

次に読む：メール配信サービス「Cuenote FC」が狙われたユミルリンクの件／ IPA が呼びかける不正アクセスの対策

自社で見直すこと

メールの一斉配信や安否確認のように、お客さまや社員の連絡先を外部のサービスに預ける仕事は、多くの会社にあります。預けた先で事故が起きると、その連絡先に偽のメールが届くおそれがあり、案内は自社からも求められます（この記事での整理）。

連絡先を預けているサービスを一覧にする メール配信・安否確認・予約・フォームなど、お客さまや社員の連絡先を預けているサービスと、それぞれの事故のお知らせを見る場所を控えておく。
管理画面のログインを強くする 使っているサービスに 2 段階認証があれば有効にし、パスワードはほかと使い回さない。担当者が替わったらアカウントを整理する。
連携の鍵の置き場所と、出し直す手順を確かめる LINE や SNS などとつなぐための鍵（シークレット）を、どのサービスに預けているかを控える。事故のときに発行し直す手順と担当者も決めておく。

ほかの最近の出来事は「最近のサイバー攻撃と対策」、メール配信サービスからの流出の例は「ブラストメールの不正アクセス」、フィッシングの手口の動きは「2026 年 9 月のフィッシング報告状況」、続けて備える体制の考え方は「ホームページの保守」にまとめています。

作り方は 3 つ｜完成済み・自作・オーダーメイド

作り方はどれでも選べます。優劣ではなく、向いているケースが違います。

オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
オーダーメイド制作を相談するオーダーメイド制作との違い
自分で作る（自作） 費用は抑えられます。そのかわり、使っているサービスの事故の情報を追い、お知らせの掲載や安全対策を公開後もずっと自分で続けることになります。
完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
完成済みのサイトを実物で見る