名古屋でAIシステムの開発をしている小嶋です。
大阪市は11月13日、住民票の写しの請求などをオンラインで申請する「大阪市行政オンラインシステム」に関連して、市民などのメールアドレス約108万件が流出したと発表しました。
不正アクセスを受けたのは、大阪市のシステムそのものではありません。システムがメールを送るために使っていた、外部のメール配信サービスです。そして同じサービスは、全国の会社や自治体、国の機関でも使われていました。
報道と、セキュリティの研究者がまとめている公開情報から、何が起きたのかを整理します。
この記事は、11月13日時点の情報です。 件数や影響を受けた組織は、発表のたびに増えています。
先にまとめます。
- 大阪市：行政オンラインシステムのメール配信サービスの利用者のメールアドレス約108万件が流出しました。氏名やマイナンバーの流出は確認されていないとしています
- 商品券事業も：プレミアム付商品券事業を受注した業者も同じサービスを使っていて、利用者約3万4千件と参加店舗約1万5千件のメールアドレスが流出しました
- 原因：アララ株式会社のメール配信サービス「アララ メッセージ」への不正アクセスです。大阪市の行政オンラインシステムは、システムを提供する事業者を通じて、このサービスを使っていました
- 全体の規模：アララによると、持ち出されたメールアドレスは重複を除いて約8,100万件、影響を受ける契約企業は最大約380社と推計されています。内閣府のメールマガジンなど、国の機関にも影響が出ています
- 偽メールにも悪用：配信の仕組みが乗っ取られ、クレジットカード会社を装った偽メールが最大約713万通送られました
- 利用者がやること：大阪市や会社を名乗るメールのURLを開かない、IDやパスワード、カード情報を入力しない、同じパスワードを使い回さない
大阪市で何が起きたか
| 日付 | 出来事 |
|---|---|
| 10月31日 | メール配信サービスの緊急メンテナンスで、行政オンラインシステムからメールを送れない状態に |
| 11月2日 | 大阪市が、システムを提供する事業者から、利用者の情報が漏えいした可能性があるとの報告を受ける |
| 11月3日 | 大阪市が第1報を発表。利用者登録、登録メールアドレスの変更、パスワードの再設定ができない状態に |
| 11月13日 | 大阪市が、メールアドレス約108万件の流出を発表。プレミアム付商品券事業でも流出があったと公表 |
大阪市の第1報（11月3日）によると、行政オンラインシステムを提供しているのは株式会社TKCで、そのシステムが使っていたアララ株式会社のメール配信サービスが不正アクセスを受けました。大阪市の行政オンラインシステムや、TKCのデータセンターへの不正アクセスは確認されていないとしています。
つまり、大阪市 → システムの提供事業者 → メール配信サービスという2段階先で起きた不正アクセスが、市民の情報の流出につながったことになります。
メールを使う手続き（利用者登録、メールアドレスの変更、パスワードの再設定）は、第1報の時点でできなくなっていました。メールを送る機能以外は使えると、大阪市は説明しています。
原因：メール配信サービス「アララ メッセージ」への不正アクセス
アララ メッセージは、会社や自治体がメールマガジンやお知らせをまとめて送るための、クラウドのメール配信サービスです。
セキュリティの研究者 piyokango 氏がまとめている公開情報（piyolog）によると、アララの発表は次のとおりです。
- 10月28日の未明から、配信の仕組みが不正に使われ、クレジットカード会社を装った偽メールが送られました。件名は「利用内容確認のご依頼」「ご利用明細確認のご依頼」などで、10月30日までに最大約713万通です
- 同じ10月28日、第三者が共用の環境の管理画面に不正にログインし、データの出力機能などを使ってデータを持ち出しました
- さらに10月28日から31日にかけて、サービスのサーバーを足がかりに、契約企業の環境のサーバー97台からデータベースの内容が持ち出されました
- 原因について、アララはWebサーバーの脆弱性を悪用されたことと、システムの環境の問題も関係していたと説明しています。侵入の始まりの時期と経路は調査中です
- 10月31日に、アララ メッセージなどの全サービスを停止しました。再開の時期は決まっていません
持ち出されたメールアドレスは、重複を除いて81,329,467件です。これは人数ではなく、メールアドレスの数です。契約企業によっては、氏名、性別、生年月日、電話番号、住所なども含まれます。クレジットカード番号は持っていなかったとしています。
影響は大阪市だけではない
影響を受ける契約企業は最大約380社と推計されています。piyolog では、11月10日の時点で、232の組織とサービスがアララとの関係を公表していることを確認しています。
- 国の機関：内閣府は11月11日、メールマガジンの利用者のメールアドレス6万2,863件が漏えいしたと発表しました
- 自治体：大阪市のほか、TKCのシステムを通じて仙台市、郡山市、青梅市なども影響を公表しています
- 銀行・証券：三井住友銀行、松井証券、地方銀行など
- 小売・メディア：ビックカメラのグループ（約1,490万件）、小学館（約199万件）など
いくつかの組織は、最初は「影響なし」と伝えられていたのに、後になって対象だと分かっています。自治体や会社がアララと直接契約していなくても、委託先や、使っているマーケティングツールの奥でアララのサービスが動いていた例が多くあります。
メールアドレスが流出したらやること
流出したのはメールアドレスが中心で、パスワードやカード番号ではありません。それでも、次のことに気をつけてください。
- 大阪市や会社を名乗るメールのURLを開かない：流出したアドレスには、本物そっくりの偽メールが届きやすくなります。大阪市は、カード会社を装ったメールが送られたことを知らせ、心当たりのないURLを開かないよう呼びかけています
- ID、パスワード、暗証番号、カード情報を入力しない：手続きは、ブックマークや市の公式ホームページから開きます
- パスワードを使い回さない：メールアドレスと、別のサイトから漏れたパスワードを組み合わせて、ログインを試す攻撃（リスト型攻撃）に使われます。同じパスワードを使っているサービスがあれば、変えておきます
- 大阪市の続報を確かめる：利用者に追加の対応を求める場合は、行政オンラインシステムの「お知らせ」や市のホームページで案内するとしています
自分のメールアドレスが過去の流出に含まれていないかは、流出したメールアドレスを検索できる海外のサービスでも確かめられます。ただ、今回のアララの件が載っているとは限りません。今回の件は、大阪市や各社からの個別の連絡と、公式の発表を基準にしてください。
国会でも問われていた「委託先」
10月28日の参議院デジタル社会の形成及び人工知能の活用等に関する特別委員会では、立憲民主党の郡山りょう議員が、デジタル庁の政府共通の基盤（GSS）への不正アクセスを取り上げ、こう指摘していました。
侵入には保守を担う委託先の担当のアカウントが使われ、そこから大量にファイルにアクセスされたということでございますが、委託先の権限についてどう管理していたのか、そこに管理に問題がなかったのか、お伺いしたいと思います。
政府は、権限の管理の詳細については答えを控えたうえで、「今回の事案を重く受け止めまして、必要な見直しを継続して行い、セキュリティー対策の強化に取り組んでまいります。」と答弁しています。
国でも自治体でも、自分のシステムだけを守っても、委託先や、そのさらに先のサービスが破られれば、情報は漏れます。今回の大阪市の件は、その形がはっきり表れた事例です。
自治体や会社が見直したいこと
- 自分のシステムが、どの外部サービスを使っているかを把握しているか：メール配信、決済、問い合わせフォーム、アクセス解析など。委託先がさらに使っているサービスまで含めて、一覧にしておきます
- 外部サービスに渡しているデータは最小限か：メールを送るだけなら、氏名や住所まで渡す必要はありません
- 配信が止まったときの手順があるか：今回、メールを使う手続き（登録・パスワードの再設定）が止まりました。メール以外の本人確認の手段を用意しておくと、止まっている間も手続きを続けられます
- 使っているソフトの脆弱性に、すぐ対応できるか：アララは原因をWebサーバーの脆弱性と説明しています。外部から確認できる脆弱性は、定期的に点検しておきます
当社では、Webサイトの外部から確認できる守りを、URLを入れるだけで点検できるシステムを開発しています。PHPの脆弱性で不正アクセスを受けたときに、社内の情報漏えいにつながる理由も解説しています。
調べ方
- 大阪市の件数と経緯は、NHK と共同通信（東京新聞・中日新聞ほか）の報道、大阪市の第1報（11月3日）の内容を伝えた公開情報によります
- アララ メッセージへの不正アクセスの経緯と件数は、アララの発表をまとめた piyolog と、ITmedia NEWS の報道によります
- 影響を受けた組織の件数は、各組織の発表をまとめた公開情報によるもので、発表のたびに変わっています
- 国会の発言は、国立国会図書館の国会会議録検索システムで調べ、引用は原文のままです
- 当社は大阪市、TKC、アララの関係者ではなく、システムの中身を独自に確かめてはいません
よくある質問
大阪市の行政オンラインシステムで、何が流出したのですか？
メール配信サービスの利用者のメールアドレス約108万件です。大阪市は、氏名やマイナンバーの流出は確認されていないとしています。あわせて、プレミアム付商品券事業の利用者約3万4千件と参加店舗約1万5千件のメールアドレスも流出しました。
なぜ大阪市の情報が流出したのですか？
行政オンラインシステムがメールを送るために使っていた、アララのメール配信サービス「アララ メッセージ」が不正アクセスを受けたためです。大阪市の行政オンラインシステムや、システムを提供するTKCのデータセンターへの不正アクセスは確認されていないとしています。
行政オンラインシステムは使えますか？
11月3日の第1報の時点では、メールを使う手続き（利用者登録、登録メールアドレスの変更、パスワードの再設定）ができない状態でした。それ以外の機能は使えると大阪市は説明しています。最新の状況は、行政オンラインシステムの「お知らせ」で確かめてください。
メールアドレスが流出したら、何をすればよいですか？
大阪市や会社を名乗るメールのURLを開かず、ID、パスワード、カード情報を入力しないことです。同じパスワードを複数のサービスで使っている場合は、変えておきます。手続きは、メールのリンクではなく、ブックマークや公式のホームページから開いてください。
自分のメールアドレスが流出したか、確認する方法はありますか？
今回の件の対象かどうかは、大阪市や、利用しているサービスの会社からの連絡と公式の発表で確かめてください。過去の流出を検索できる海外のサービスもありますが、今回の件が載っているとは限りません。
アララ メッセージの不正アクセスで、ほかにどこが影響を受けましたか？
アララは、影響を受ける契約企業を最大約380社と推計しています。内閣府のメールマガジン、仙台市・郡山市・青梅市などの自治体、銀行、証券会社、小売、メディアなどが影響を公表しています。
