【インシデント速報】2026年10月14日｜防災「SpeeCAN RAIDEN」313万件・銀のさら650万件漏えい
公開
10月13日は、自分の会社が直接攻撃されていなくても被害に遭う「委託先経由」の漏えいが2件続けて公表されました。防災メール基盤と宅配寿司の注文サイトという、まったく別業種で起きています。自社が預けている顧客データが、委託先のどのサーバーに、どんな契約で保管されているかを今すぐ確認してください。被害の入口が自社の外にあるぶん、気づくのも対応するのも遅れがちで、事前の備えが物を言います。
株式会社アルカディア 防災情報配信サービス「SpeeCAN RAIDEN」
自治体向けの防災情報配信サービス「SpeeCAN RAIDEN（スピーキャン・ライデン）」を提供する株式会社アルカディアは、2026年10月13日、同サービスへの第三者による不正アクセスと個人情報漏えいの可能性を公表しました。アルカディアは10月11日16時30分ごろに不正アクセスの痕跡を確認し、10月12日未明に侵入経路を遮断、10月13日11時に関連する2つのサーバー（raiden3.ktaiwork.jp／s2.ktaiwork.jp）を緊急停止しています。
アルカディアの発表によると、漏えいのおそれがある件数はいずれも最大・推計値で、メールアドレス約313万6,000件、電話番号約10万5,000件、FAX番号約1万5,000件です。氏名や委託先・担当者情報、配信履歴に含まれるメッセージ本文なども対象に含まれ、自治体によっては職員の氏名・職員番号・所属なども含まれると報告されています。クレジットカード情報は同サービスでは取り扱っておらず、対象外とされています。侵入経路は特定してIPアドレスを遮断したとされますが、具体的な攻撃手法は現時点で未公表です。
このサービスは全国の多くの自治体・団体が防災メールや緊急連絡の配信基盤として利用しており、公表後は複数の自治体が防災メールやFAX・電話による配信を停止、またはウェブサイトやSNS・防災行政無線などの代替手段に切り替えました。静岡市やさいたま市などは、正規に見えるドメインを装った不審メールへの注意喚起も出しています。防災配信サービスは、住民が「自治体からの正規メール」として警戒せずに開く前提の仕組みのため、流出した連絡先が詐欺メールの送付先として悪用されるリスクが高い点に注意が必要です。復旧時期は未定です。
中小企業への影響
これは「自治体向けサービス」の話に見えますが、構図はどの中小企業にも当てはまります。自社のメール配信・予約・顧客通知などを外部サービスに委ねている場合、その事業者が攻撃されれば、自社の顧客情報がそのまま流出します。しかも停止・復旧の判断は委託先次第で、自社では配信手段を失うという事業継続リスクも同時に発生します。
推奨対応
- メール配信・SMS・予約システムなど、顧客の連絡先を外部に預けているサービスを一覧化し、保管データの種類と件数を把握する
- 委託先が障害・侵害で停止したときの代替連絡手段（電話・SNS・自社サイト掲示）をあらかじめ決めておく
- 自社サービスや自治体サービスを装った不審メールが届く可能性を従業員と顧客に周知し、リンクや添付を安易に開かないルールを徹底する
ライドオンエクスプレスHD「銀のさら」「釜寅」「すし上等」
宅配寿司「銀のさら」などを運営するライドオンエクスプレスホールディングスは、2026年10月13日、公式サイト・アプリに登録された個人情報が漏えいした可能性について第3報を公表しました。同社は10月5日に不正アクセスを検知し、10月7日朝にシステム障害が発生。登録データを保管していた外部サーバーの運営会社がランサムウェア攻撃を受けていたことが判明し、システムを停止しました。サーバー運営会社の社名は公表されていません。
漏えいのおそれがあるのは最大約650万件で、これは確定した漏えい件数ではなく、10月13日時点で明確な漏えいの痕跡や範囲は確認されていないとしています。対象となりうる項目は、氏名・住所・電話番号・メールアドレス・性別・生年月日、パスワードのハッシュ値、注文履歴、3ブランド共通のデリポイント会員IDです。登録内容によっては家族の氏名・生年月日、配達先の氏名・住所・電話番号も含まれる可能性があります。クレジットカード情報は同社が保有していないため対象外で、電話注文や出前館・Uber Eats経由の注文も範囲外です。
公式サイト・アプリからの注文は停止が続いており、再開時期は未定です（電話・店頭・出前館・Uber Eatsでの注文は受付中）。同社は個人情報保護委員会と警察に報告済みで、現時点で二次被害は確認されていないとしています。利用者側の対策として、同じメールアドレスとパスワードを他のサービスでも使い回している場合は、流出の有無が確定する前であっても早めにパスワードを変更しておくことが推奨されます。
中小企業への影響
注目すべきは、攻撃を受けたのが同社自身ではなく「データを預けていた外部サーバーの運営会社」だった点です。委託先がランサムウェアに感染すると、データが暗号化されて復旧困難になり、漏えいだけでなく注文停止という売上直結の損失が長期化します。ECや予約を外部サーバーに置く中小企業にとって、これは明日起きてもおかしくないシナリオです。注文停止が1週間続けば、通常の売上に直結する損失は決して小さくありません。
推奨対応
- 顧客パスワードは必ずハッシュ化して保管し、委託先にも同様の対応を契約で求める。利用者には他サービスでの使い回しをやめるよう案内する
- 委託先サーバーのバックアップが「別systemで隔離保管されているか」を確認する。同一ネットワーク上のバックアップはランサムで同時に暗号化される
- 委託契約にインシデント発生時の報告義務・復旧目標時間（RTO）・連絡体制を明記し、検知から公表までの初動を事前に合意しておく
編集部まとめ
10月13日の2件は、どちらも「自社ではなく委託先が攻撃された」点で共通します。顧客データを外部に預けている限り、委託先のセキュリティは自社のリスクそのものです。預け先の棚卸し、バックアップの隔離、契約への報告・復旧義務の明記という3点を、来週の業務で一つずつ着手してください。「うちは小さいから狙われない」ではなく「預けた先が狙われれば自社も被害者になる」という前提で、委託先を選ぶ段階からセキュリティ体制を確認する姿勢が、今回の2件から学べる最大の教訓です。