SpeeCAN RAIDEN の不正アクセス（2026年10月）

経緯

入り口（経路）

添付ファイルを公開しているメディアサーバーの脆弱性（ディレクトリパストラバーサル）。そこから内部のソースファイルが取られ、設定ファイルにあった、サービスどうしのログインに使う秘密の鍵（シークレットキー）が取られた。その鍵を使ってアカウントIDへの総当たり攻撃があり、ログインされたところから内部の情報が取られた

起きた期間

2026-10-11 の6時26分にアクセスが始まった。2026-10-13 の7時16分に、置かれた不正なプログラムからのメールの配信を止めた

会社が気づいた日

2026-10-11

漏れた、または漏れたおそれのある情報

個人情報

すべてのサービスの個人情報が、漏洩の可能性の対象（NET119 と旧119RAIDEN を含む）。NET119 は、9,020件のメールアドレスにひもづく個人情報。どの項目かは、この発表に書かれていない

認証情報

設定ファイルにあった、サービスどうしのログインに使う秘密の鍵（シークレットキー）が取られた

社内の情報

内部のソースファイルと、ログインされたところからの内部の情報が取られた。社内の会計のシステムのデータベースにも、不正アクセスの跡が見つかった

会社の対応

2026-10-11 の23時40分、社内のシステムの監視でデータベースの異常な負荷に気づき、不正アクセスを検知した。2026-10-12 の3時に、ファイルサーバーの脆弱性を直すなどして不正アクセスの経路を遮断した。データベースのパスワードと、owner 画面・support のパスワードを変えた。データベースのパスワードを変えた影響で、一部の外部連携・電話の発信・自動応答・登録の画面がうまく動かないことがあった（電話の発信と自動応答は直した）。2026-10-12 に、WordPress のプラグインが足されていたことが分かった。2026-10-13 の4時10分ごろ、メールが大量に送られていたことから、バックドアが置かれていたことが分かり、7時16分に不正なメールの配信を止めた。外へ送られたメールの総数は 1,423,428 で、多くはクレジットカード会社からの残高確認のような内容で、フィッシング詐欺が疑われる。2026-10-13 に、公式ブログと会社のホームページで個人情報の漏洩の可能性を知らせ、契約先へ案内のメールを送った。同じ日に一部のサービス（raiden3 と s2）を緊急に止め、アクセス元のIPアドレスを遮断し、すべてのサーバーを順に調べた。2026-10-13 から 10-14 にかけて、NET119・旧119RAIDEN・社内の会計のシステムのデータベースで、不正アクセスの跡が見つかった。2026-10-13 に、docomo のエリアメールの担当から、不審なアクセスを検知したと連絡があった。2026-10-14 に raiden3 のデータベースで書き換えられた箇所が複数見つかり、2026-10-15 に手作業で直した。raiden3 のソースコードが改ざんされていないことを確かめ、2026-10-15 の15時10分に raiden3 と s2 を戻し、すべてのサービスが復旧した。脆弱性が解消したこと、不正なソースコードが無いこと、データベースが健全なこと、設定ファイルと、決まった時刻に処理を動かす仕組み（cron）などの設定に問題が無いことを確かめた。社内の調査では安全性を確かめられていると考えているが、より詳しい調査と対策を、セキュリティ専門の第三者機関に頼む。すべてのサービスで、社内で立ち上げたAI（LLM）を使った脆弱性の診断とコードの見直しをして、対応した。今後は外部の会社の脆弱性診断を受ける。社内からデータベースに入る方法を見直し、パスワードをサービスごとに分けた。今後は2段階認証を求めるなど、対策を強める。サービスとプロセスの自動の監視を強め、セキュリティを専門に見張る体制（SOC）の導入も検討する。X・Facebook・LINE・Yahoo防災アプリ・緊急速報メール（エリアメール）との連携の設定ファイルを順に見直し、防災行政無線などとの連携も、メーカーなどと動作を確かめる。メールが外へ送られた状況などを、詳しく調べ続けている。個人情報の漏洩の可能性の調査と、数の特定には、なお時間がかかる見通し

届け出

個人情報保護委員会へ速報を報告した（2026-10-12）。2026-10-16 に、個人情報保護委員会への代行報告を検討した。日本情報経済社会推進協会（JIPDEC）のプライバシーマーク推進センター・総務省 近畿総合通信局・ISMS の日本能率協会へも報告した。2026-10-13 に、所管の警察署へ相談し、JPCERT コーディネーションセンターへメールで相談した。箕面市警察・大阪府警とも協議していて、アクセスログなどをもとに被害届を出す予定