アルカディアの情報漏洩｜SpeeCAN RAIDENの約313万件と偽メールの見分け方 2026

株式会社アルカディアは、2026年10月13日、同社が運営する配信サービス「SpeeCAN RAIDEN（スピーキャン ライデン）」に第三者の不正アクセスがあり、メールアドレス約313万6千件、電話番号約10万5千件、FAX番号約1万5千件（いずれも推定値）が漏洩した可能性があると発表しました。10月19日の第12報では、侵入した者が仕込んだプログラムによって、外部に1,423,428通のメールが送られ、その多くがクレジットカード会社の残高確認を装ったフィッシング詐欺の疑いのある内容だったことも明らかにしています。自治体や学校などの登録制メールに登録している人は、届いたメールのリンクを開かず、カード会社や銀行の手続きは公式アプリか公式サイトから直接行ってください。

この記事では、2026年10月20日時点でアルカディアが公式に発表している内容だけをもとに、何が起きたのか、どの情報が漏れた可能性があるのか、自分が対象かをどう確かめるのか、偽メールにどう備えるのかを順番に整理します。在宅で仕事を受けていて、地域の連絡網や学校の配信メールに仕事用のアドレスを登録している人への注意点も最後にまとめました。

SpeeCAN RAIDENの不正アクセスで何が起きたか（2026年10月20日時点）

最初に、発表の骨格を押さえます。2026年10月11日16時30分、アルカディアはSpeeCAN RAIDENで不正アクセスが疑われる不審な動きを確認しました。翌12日の3時ごろに侵入経路を塞ぐ応急の措置を取り、影響の範囲を調べ始めています。

13日には、調査の中で外部からの侵入経路が判明したとして、侵入経路になっていたサービスを11時から緊急停止しました。停止したのは、SpeeCAN RAIDENのうち「raiden3.ktaiwork.jp」の利用者と、学校向けの「ライデン・スクール」のうち「s2.ktaiwork.jp」の利用者です。この2つは10月15日15時ごろに復旧しています。

調査を進める中で、ほかのサービスにも不正アクセスの跡が見つかりました。2026年10月20日時点で、漏洩した可能性があると発表されているのは次の3つのサービスです。

サービス	漏洩した可能性のある件数（発表の表現どおり）
SpeeCAN RAIDEN（ライデン・スクールを含む）	メールアドレス約3,136,000件、電話番号約105,000件、FAX番号約15,000件（推定値）
NET119	9,020件のメールアドレスに紐づく個人情報
119RAIDEN（fs119.ktaiwork.jpのみ）	メールアドレス約97,000件、電話番号約17,000件、FAX番号約400件

SpeeCAN RAIDENの件数について、同社は「あくまでも推定値であり、継続して調査を進めております」と書いています。数字は確定したものではなく、現時点の見積もりです。

さらに10月19日の第12報では、経過を時刻ごとにまとめた資料が公表されました。その中で、侵入者が設置した不正なプログラム（バックドア：外から勝手に操作するための裏口のこと）によって、外部へメールが大量に送られていたことが明らかにされています。この点は、利用者が一番気をつけるべきことなので、後の節で詳しく説明します。

SpeeCAN RAIDENとは：誰が対象になりうるか

SpeeCAN RAIDENは、登録した人にメールなどで情報を一斉に届けるための配信サービスです。サービスの契約者（自治体、学校、企業などの管理者）が配信先を登録し、防災情報や連絡を送るのに使います。同社の公式ブログでは、管理者に対して「登録者の皆様」への注意喚起を依頼しており、このサービスが、住民や保護者などが自分のメールアドレスを登録する「登録制メール」として使われていることが分かります。

10月19日の資料には、X、Facebook、LINE、Yahoo!防災速報アプリ、携帯電話の緊急速報メール（エリアメール）との連携や、防災行政無線との連携についても触れられています。経過の記録には、町の消防情報の外部連携や、道路の情報を受け取るための空メール登録画面（何も書かないメールを送ると登録できる仕組み）も出てきます。

ここから言えるのは、次のような登録をしたことがある人が、対象になりうるということです。

• 住んでいる自治体の防災メールや、防災情報の配信に登録した
• 子どもの学校からの連絡メールに登録した
• 勤め先や地域の団体の緊急連絡網に、メールアドレスや電話番号を登録した
• 道路や消防の情報を受け取るために、空メールを送って登録した

ただし、どの自治体や学校がSpeeCAN RAIDENを使っているかは、アルカディアの発表には書かれていません。自分が登録したサービスが対象かどうかは、登録した先（自治体や学校）の案内で確かめる必要があります。この点は後の「自分が対象かを確かめる方法」で説明します。

NET119と119RAIDENは、消防本部が使うサービスです。同社は、NET119で漏洩した可能性のあるメールアドレスを、各消防本部に個別に知らせる予定だとしています。

公表の経緯：第1報から第12報まで

同社は、2026年10月13日から19日までに、公式ブログの同じ記事を12回更新しています。主な更新を並べます。

日時	発表	分かったこと
10月13日 15時50分	第1報	一部サービスを13日11時から緊急停止
10月13日 18時47分	第2報	侵入経路の判明、漏洩した可能性のある項目と件数（推定値）、問い合わせ窓口
10月14日 10時40分	第3報	管理者に、登録者への注意喚起の文面例を案内
10月14日 15時00分	第4報	NET119と119RAIDENにも不正アクセスの跡
10月14日 16時00分	第5報	119RAIDENの対象URLを一部除外
10月14日 17時12分	第6報	NET119の映像通報は、現時点で漏洩の可能性なし
10月15日 10時12分	第7報	個人情報保護委員会、警察などへの報告と相談の状況
10月15日 13時30分	第8報	停止中のサーバーを15時ごろ復旧の予定
10月15日 17時50分	第9報	15時ごろに復旧完了。全利用者にパスワードの変更を依頼
10月16日 15時30分	第10報	契約者に代わって個人情報保護委員会へ報告する準備
10月16日 18時10分	第11報	NET119の件数が9,020件で確定、119RAIDENの件数
10月19日 10時00分	第12報	経過と今後の対応をまとめた資料を公表

同社のコーポレートサイトのお知らせにも、この公式ブログの記事へのリンクが掲載されています。最新の内容は公式ブログの記事で確かめてください。記事は新しい更新ほど上に追記される形なので、上から読むと最新の状況が、下から読むと最初の発表からの流れが分かります。ニュースやSNSで読んだ件数が古い報のものでないかも、この記事で照らし合わせられます。

続報で確かめたい点

同社は、個人情報の漏洩の可能性の調査と、具体的な数の特定には、なお時間がかかる見通しだとしています。続報が出たときに見ておきたいのは、次の3つです。

• SpeeCAN RAIDENの件数が、推定値から確定した数に変わるか
• 不正に送られた1,423,428通のメールの宛先や内容について、さらに説明があるか
• 契約者（自治体や学校など）から登録者への通知が、どの形で行われるか

3つ目は、各登録先からの案内になるはずです。登録先の公式サイトのお知らせを、ときどき確かめておくと見落としがありません。

漏洩した可能性のある情報と、含まれないと明記された情報

サービスごとに、漏洩した可能性のある項目を表にします。会社が「含まれない」と明記した項目も分けて書きます。

サービス	漏洩した可能性のある項目
SpeeCAN RAIDEN	連絡先の名前、メールアドレス、電話番号とFAX番号、担当者、契約情報、履歴として保存されている本文に書かれている内容
NET119	利用者の名前、生年月日、性別、住所、電話番号、メールアドレス、FAX番号、ほかのサービスに登録したときに入力した情報
119RAIDEN	連絡先の名前、メールアドレス、電話番号とFAX番号、担当者、契約情報

区分	内容
含まれない	SpeeCAN RAIDENは、クレジットカードなどの決済情報を扱っていないため対象外
含まれない	NET119について、要配慮個人情報（病歴など、特に慎重に扱う情報）は漏洩していないことを確認
現時点で漏洩の可能性なし	NET119の映像通報

ここで見落としやすいのが、「履歴として保存されている本文に書かれている内容」です。これは、過去に配信されたメッセージの本文のことで、その中に個人の名前や連絡先が書かれていれば、それも漏れた可能性があるということです。たとえば、学校や団体の連絡網で、個人名を挙げた連絡を配信していた場合が考えられます。何が書かれていたかは配信した側（管理者）にしか分からないので、気になる人は登録先に確かめてください。

原因として発表されていること

10月19日の資料で、同社は侵入の手口を具体的に説明しています。公式の説明を、分かりやすく言い換えると次のとおりです。

1. 添付ファイルを公開しているサーバーに、本来見えないはずの内部のファイルを読み出せてしまう弱点（ディレクトリパストラバーサル）があった
2. その弱点から内部のプログラムが取られ、設定ファイルに書かれていた、サービス同士がログインするための秘密の鍵（シークレットキー）が取られた
3. その鍵を使って、アカウントIDに対して総当たりでログインが試された
4. ログインされた状態から、内部の情報が取られた

資料の経過の記録によると、10月11日6時26分にアクセスが始まり、同日16時39分に設定ファイルの取得に成功され、23時40分に、社内のシステム監視がデータベースの異常な負荷に気づいて不正アクセスを検知しています。

その後、10月13日の未明には、侵入者が設置したバックドアによる不正なメール配信が始まりました。1時17分に少しずつ送り始め、最終的には1,000件ずつ送られていたとされています。4時10分に大量の配信から裏口の設置が分かり、7時16分に不正な配信を止めています。

対応の途中で起きた配信の不具合

10月19日の資料には、侵入への対応の途中で、配信や連携に一時的な不具合が出ていたことも書かれています。データベースのパスワードを変えた影響で、10月12日に町の消防情報の外部連携が失敗し、電話の発信もしばらくできなくなっていました。電話の発信は同日のうちに直されています。

14日には自動応答が止まっていたことが分かり、同日夜に復旧しました。旧119RAIDENでは、市の電話の発信が1件、20分ほど遅れたことも記録されています。道路の情報の空メール登録画面でエラーが出ていたことも、同じ原因と分かっています。

利用者の側で知っておきたいのは、10月12日から15日ごろにかけて、登録制メールや電話の連絡が届かなかったり、遅れたりした可能性があるということです。この期間に届くはずの連絡が来なかったと感じた人は、登録先の自治体や学校の公式サイトで、その時期の発表を確かめておくと安心です。

不正に送られた約142万通のメールに注意

利用者にとって最も大事なのは、この不正なメール配信です。10月19日の資料には、次のように書かれています。

不正なプログラムによって、外部にメール配信された状況など詳細な調査を継続しています。現時点では、その総数が 1,423,428 であることがわかりました。多くは、クレジットカード会社からの残高確認のような内容でフィッシング詐欺が疑われます。 出典: raiden.site.ktaiwork.jp

フィッシング詐欺とは、実在の会社を装ったメールで偽のサイトに誘い、カード番号やパスワードを入力させる詐欺のことです。今回の件で特に注意したいのは、偽メールが、配信サービスのサーバーに仕込まれたプログラムから送られた点です。経過の記録には、不正な配信の前に、侵入者がメールの送信元を証明する仕組み（DKIMやDMARC）に関わる送信の試験をしていたことも書かれています。どの宛先に、どの送信元の表示で送られたのかは、2026年10月20日時点の発表には書かれていません。ただ、普段使っている配信の仕組みから届いたメールなら、多くの人は疑わずに開いてしまいます。送り主の表示が見慣れたものでも、中身で判断する必要があります。

2026年10月13日の未明から朝にかけて、カード会社の残高確認のような内容のメールを受け取った人は、次のことを確かめてください。

• メールの中のリンクを開いたか
• 開いた先のページで、カード番号、有効期限、セキュリティコード、暗証番号、パスワードを入力したか

リンクを開いただけで何も入力していなければ、メールを削除し、今後同じようなメールのリンクを開かないようにすれば足ります。何かを入力してしまった場合は、すぐにカード会社の公式の窓口（カードの裏面に書かれた番号）に連絡し、カードを止める手続きについて相談してください。パスワードを入力した場合は、そのパスワードを使っているすべてのサービスで、速やかに変えてください。

アルカディアの対応

同社が発表している対応は次のとおりです。

• 侵入経路を遮断し、不正なアクセス元のIPアドレスを拒否する設定にした
• 侵入経路になったサービスを緊急停止し、安全を確かめたうえで10月15日に復旧した
• ディレクトリパストラバーサルの解消、不正なプログラムが無いこと、データベースが健全であることを確認した
• データベースへの入り方を見直し、パスワードをサービスごとに別々に設定した
• 個人情報保護委員会、JIPDECのプライバシーマーク推進センター、総務省近畿総合通信局、ISMSの審査機関に報告した
• 箕面市の警察と大阪府警と協議し、被害届を出す予定
• 契約者に代わって、個人情報保護委員会への報告（代行報告）を行う準備をしている
• 今後は、外部の会社による脆弱性の診断、社内からデータベースに入るときの二段階認証、各サービスの自動監視の強化などを進める

代行報告とは、本来は各契約者が個人情報保護委員会に報告するところを、サービスを提供する会社がまとめて報告することです。同社は、委員会と相談したうえで準備を進めており、契約者の同意が必要なため、準備ができたらメールで知らせるとしています。

補償やお詫びの品については、2026年10月20日時点の発表には書かれていません。発表に書かれていないことを、ここで「ある」とも「ない」とも決めつけないでおきます。

契約者（管理者）に求められていること

同社は、すべての利用者（契約者）に、ログインのパスワードを変えてからシステムを使うよう求めています。公式ブログに書かれている手順は、RAIDENにログインし、管理画面の「設定」から「ログインアカウント」を開き、該当するアカウントを選んで「変更」ボタンを押す、というものです。

また、第3報では、管理者から登録者へ注意を呼びかけるための文面の例を示しています。

不審な連絡に対して、氏名、住所、パスワード、口座情報などの個人情報を決して提示・入力しないでください。 身に覚えのない送信元や不審なメッセージに記載されたURL・添付ファイルは開かないでください。 出典: raiden.site.ktaiwork.jp

自分が対象かを確かめる方法

登録した側の個人が、自分が対象かどうかをアルカディアに照会する仕組みは、2026年10月20日時点で案内されていません。確かめる手段は次のとおりです。

1. 自分が登録している防災メール、学校の連絡メール、団体の連絡網を書き出す
2. それぞれの登録先（自治体、学校、団体）の公式サイトで、今回の件についてのお知らせが出ていないかを見る
3. お知らせが見つからない場合は、登録先の担当の窓口に、使っている配信サービスと影響の有無を問い合わせる

登録先を思い出すには、受信箱で「防災」「緊急」「配信停止」「登録完了」といった言葉を検索すると手がかりになります。登録完了のメールには、配信している自治体や学校の名前が書かれていることが多いはずです。

問い合わせるときは、登録先の公式サイトを自分で開いて、そこに載っている番号や問い合わせフォームを使ってください。今回のように配信の仕組みが悪用された可能性がある事案では、配信メールに書かれた連絡先が本物かどうかを、メールの中だけで判断するのは危険です。

なお、海外の無料サービス「Have I Been Pwned」のように、過去の漏洩にメールアドレスが含まれていたかを調べられるサイトもありますが、国内の新しい漏洩がすぐに登録されることは少なく、今回の件を確かめる手段としては期待しすぎないほうがよいでしょう。使い方と限界は、漏えいを調べる方法で説明しています。

偽メールの見分け方

今回の件では、偽メールが正規の配信の仕組みから送られた可能性があるため、「送信元が普段の防災メールと同じだから本物」という判断が通用しません。警察庁も、メールに表示される送信元の名前やアドレスは変更が容易で、それだけで真偽を見分けるのは難しいと説明しています。

そのうえで、見分けるときの手がかりを表にまとめます。

確かめる点	偽メールによくある形	取るべき行動
内容と送り主の組み合わせ	防災メールの送信元から、カード会社の残高確認が届く	送り主の用途と内容が合わなければ偽物と考える
急がせる言葉	「本日中に確認」「利用停止」	一度手を止める
リンク	本物に似た別のドメインのURL	開かず、公式アプリか公式サイトを自分で開く
求められる情報	カード番号、暗証番号、パスワード、認証コード	入力しない

一番分かりやすい手がかりは、1行目の「内容と送り主の組み合わせ」です。自治体の防災メールや学校の連絡メールが、カード会社や銀行の手続きを案内することはまずありません。届いた仕組みが本物でも、中身がその仕組みの用途と合っていなければ、偽物と考えて削除してください。

カード会社や銀行からの連絡が気になるときは、メールのリンクではなく、カード会社の公式アプリや、ブラウザのお気に入りに登録した公式サイトから入って確かめます。本当に手続きが必要なら、そこにも同じ案内が出ているはずです。

利用者がすることの優先順位

今日やることを、優先する順に並べます。

1. 10月13日の未明から朝に、カード会社などを装うメールを受け取っていないか確かめる
2. リンクを開いて何かを入力していたら、カード会社や該当するサービスの公式窓口にすぐ連絡する
3. 同じパスワードを複数のサービスで使っていないかを見直す
4. メールアカウントやネット銀行に二段階認証を設定する
5. 登録している防災メールや連絡網の登録先に、影響の有無を確かめる
6. 使っていない登録制メールは、登録先の公式の手続きで配信を止める

二段階認証とは、パスワードに加えて、スマートフォンに届く確認コードなどを組み合わせてログインする仕組みのことです。パスワードが知られても、それだけではログインできなくなります。

6番目の配信の停止は、メールの中の「配信停止」リンクではなく、登録先の公式サイトに書かれた手続きで行ってください。偽メールの配信停止リンクを押すと、そのアドレスが実際に使われていると相手に伝わってしまうことがあるためです。ただし、防災メールは災害のときに命を守る情報なので、止める前に、別の手段（自治体の公式アプリなど）で同じ情報を受け取れるかを確かめておくと安心です。

電話番号とFAX番号も漏れた可能性のある項目に含まれているので、偽の電話やSMSにも気をつけてください。カード番号や暗証番号を電話で聞かれても答えず、一度切ってから、公式の番号に自分でかけ直します。FAXで届く「お詫び」や「確認書」も同じで、書かれた番号に電話したり、口座番号を書いて送り返したりせず、送り主とされる団体の公式サイトで確かめてください。事業所のFAX番号を登録していた人は、職場の同僚にもこの点を共有しておくと安心です。

防災の情報を受け取り続けるために

今回の件で、防災メールそのものを解除したくなった人もいるかもしれません。ただ、防災メールは、大雨や地震のときに避難の判断に使う大切な情報です。漏洩が心配だからといってすぐに解除してしまうと、いざというときに必要な情報が届かなくなるおそれがあります。

判断の順番は次のとおりです。まず、登録先の自治体や学校が今回の件についてどう案内しているかを確かめます。そのうえで、同じ情報を別の手段でも受け取れるかを見ます。自治体の公式アプリ、公式のSNSアカウント、携帯電話の緊急速報メールなど、配信の手段が複数用意されていることが多いからです。別の手段で受け取れるなら、それを先に整えてから、メールの登録を見直すと、情報の空白ができません。

家族、特に高齢の家族が防災メールに登録している場合は、「防災メールの送り主から、お金やカードの話が来たら偽物」という1点だけを具体的に伝えておくと効果があります。全部を説明しようとするより、行動を1つに絞って伝えたほうが、いざというときに思い出してもらえます。

問い合わせ窓口と公的な相談先

アルカディアが第2報で案内している窓口は次のとおりです。

窓口	内容
個人情報相談窓口 電話	050-5830-0750
電子メール	[email protected]
受付時間	午前9時から午後5時（土日祝日と年末年始を除く）

同社は、問い合わせの電話が多くつながりにくいため、つながらない場合は電子メールで連絡するよう案内しています。順番に対応するので時間がかかる場合がある、とも書かれています。番号やアドレスは、必ず同社の公式ブログか公式サイトを開いて確かめてから使ってください。

被害が出たかもしれない場合は、公的な窓口も使えます。

困りごと	相談先
偽のサイトにカード番号を入れてしまった	カード会社の窓口
架空請求や契約のトラブル	消費者ホットライン「188」（身近な消費生活センターにつながる）
ウイルス感染や不正アクセスの技術的な相談	IPAの情報セキュリティ安心相談窓口（電話 03-5978-7509、10時から17時、土日祝日と年末年始を除く）
お金をだまし取られた	最寄りの警察署

偽のサイトを見つけたときは、警察庁が案内している「フィッシング110番」に通報できます。

在宅で仕事をする人が気をつけること

在宅で仕事を受けている人の中には、地域の防災メールや子どもの学校の連絡メールに、仕事でも使っているメールアドレスや電話番号を登録している人も多いはずです。そのアドレスが漏れると、仕事の連絡に紛れて偽のメールが届くおそれがあります。振込先の変更や請求の連絡が来たときは、メールに返信するのではなく、普段使っている別の経路で取引先に確かめる習慣をつけておくと安心です。

もう1つ、自分が団体の管理者として登録制メールを使っている場合もあるでしょう。たとえば、地域の団体や習い事の教室の連絡網を、業務として預かって運営しているような場合です。今回、アルカディアは契約者に代わって個人情報保護委員会への報告を行う準備を進めており、同意の手続きをメールで案内するとしています。管理者の立場の人は、このメールを見落とさないようにしてください。

個人情報保護委員会は、事業者が委員会への報告を義務づけられる場合として、要配慮個人情報を含む漏えい、不正に使われるとお金の被害が出るおそれがある漏えい、不正アクセスのように不正な目的で行われたおそれがある漏えい、本人の数が1,000人を超える漏えいの4つを挙げています。不正な目的で行われたおそれがある場合は、発覚した日から60日以内という期限も示されています。

登録者に知らせる必要があるか、自分が報告する立場にあるかは、契約の内容や団体の性格によって変わります。個人で決めつけず、アルカディアからの案内を確かめ、迷ったら個人情報保護委員会の個人情報保護法相談ダイヤル（03-6457-9849、平日9時30分から17時30分）で確かめてください。

運営者の視点：届いた経路より、中身で疑う

今回の件が示しているのは、「いつもの送り主から届いたから安心」という判断が、いつも正しいとは限らないということです。配信の仕組みが乗っ取られれば、本物の送り主から偽の中身が届きます。頼れるのは、「この送り主は、こういう用件でしか連絡してこないはず」という、中身と送り主の組み合わせでの判断です。

2004年から在宅ワークとフリーランスの仲介を続けてきた運営者として見てきた傾向では、長く仕事が続く人ほど、取引先ごとに連絡の経路と用件を決めて、それを崩しません。「お金の話は電話で確かめる」「ファイルの受け渡しはいつもの共有フォルダだけ」と決めておけば、いつもと違う連絡にすぐ気づけます。

情報セキュリティの知識は、それ自体が仕事にもなります。企業のセキュリティ対策や、生成AIの社内導入にあわせたルール作りを支援する仕事の内容は、AI・マーケティング・セキュリティのお仕事で紹介しています。ネットワークの仕組みから学び直したい人には、シスコ社の技術者認定であるCCNA（シスコ技術者認定）が参考になります。偽メールを見抜く力を組織で付けたい人は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドが役に立ちます。手数料をかけずに直接取引できる在宅の仕事を探すなら、@SOHO 求人一覧から、連絡の経路を整えたうえで応募するのがおすすめです。

よくある質問

Q. SpeeCAN RAIDENと契約した覚えがないのに、関係があるのですか？

SpeeCAN RAIDENは、自治体や学校、団体などの管理者が、登録した人に情報を一斉に届けるための配信サービスです。個人が直接契約するものではありません。防災メールや学校の連絡メールに登録していて、その登録先がこのサービスを使っていれば、メールアドレスなどが漏洩した可能性があります。登録先の案内で確かめてください。

Q. 10月13日に届いたカード会社のメールは本物ですか？

アルカディアは、侵入者が設置した不正なプログラムで外部に1,423,428通のメールが送られ、その多くがクレジットカード会社からの残高確認のような内容で、フィッシング詐欺が疑われると発表しています。防災メールなどの送り主からカード会社の手続きが届いた場合は偽物と考え、リンクを開かず削除してください。

Q. リンクを開いてカード番号を入力してしまったら、どうすればよいですか？

すぐにカード会社の公式の窓口に連絡してください。番号はカードの裏面に書かれたものを使い、メールに書かれた番号には電話しないでください。パスワードを入力した場合は、そのパスワードを使っているすべてのサービスで速やかに変えます。お金をだまし取られたときは、最寄りの警察署に相談できます。

Q. アルカディアの問い合わせ窓口はどこですか？

第2報で、個人情報相談窓口として電話050-5830-0750と電子メール[email protected]が案内されています。受付時間は午前9時から午後5時で、土日祝日と年末年始は除きます。電話がつながりにくい場合は、電子メールで連絡するよう案内されています。番号は公式サイトで確かめてから使ってください。