【結論】アルカディアのシステムから送られた偽メールは、防災メールと同じ差出人でもURLを開かず削除するのが正解です。ただし差出人のドメインを受信拒否にすると、本物の防災メールまで届かなくなるおそれがあります。
- 偽メールは10月13日1時17分〜7時16分に142万3428通配信された
- 内容はクレジットカード会社を装ったフィッシング詐欺の疑い
- 静岡市では市職員にも届いたと公表
- 差出人に本物の防災メールのドメインが使われた例がある
- 漏えいの可能性があるメールアドレスは最大約313万6000件（推定）
「防災メールのアドレスからカード会社のメールが来た」「これは本物？開いて大丈夫？」と不安になっている人が増えています。自治体の防災メールを登録しているだけの人にも届いているため、心当たりがなくても慌ててしまいます。
この記事では、運営会社アルカディアの公式発表と自治体の注意喚起をもとに、届いたときにやること・やってはいけないことを整理します。最初に、この先どんなメールに気をつけるべきか、編集部の予想をまとめました。
【考察】アルカディアの偽メールはこの先も届く？
ここからは編集部の予想です。
編集部は、防災メールの差出人を使った大量配信はいったん止まったものの、漏えいした可能性のあるアドレス宛てに「別の差出人」を名乗る詐欺メールが届く状態はしばらく続くと予想します。警戒すべきは差出人の名前ではなく、カードや口座の確認を急がせる中身のほうです。理由は3つあります。
理由1：漏えいの可能性があるアドレスが最大約313万件ある
アルカディアは、漏えいの可能性がある情報としてメールアドレス約313万6000件・電話番号約10万5000件・FAX番号約1万5000件を挙げています（アルカディア公式ブログ）。件数は推定値で、調査は続いています。
同社は今後、外部機関によるダークウェブ調査を行うとしています。アドレスが外部に出回っているかどうかはまだ分かりません。ただ、アドレスが一度でも攻撃者の手に渡った可能性がある以上、今後は防災メールとは関係のない差出人から届くことも考えておくべきです。
理由2：会社の保有アドレス以外にも送られていた
公式発表によると、142万3428通のうち少なくとも86万9575通は、同社が保有するメールアドレス宛てではなかったとされています（アルカディア公式ブログ）。攻撃者は防災メールの登録者だけでなく、別の宛先リストにもまとめて送っていたと読めます。
つまり今回のメールは、防災メールの仕組みを「送信の踏み台」に使った詐欺だった面が強いです。踏み台が塞がれても、宛先リストを持つ側は別の送信手段に切り替えられます。差出人が変わっても中身の手口は同じ、という形で続くと考えます。
理由3：社長が「攻撃は今も続いている」と説明した
10月23日の会見で天白成一社長は、サイバー攻撃を現在も受けていると説明しました（共同通信（南日本新聞））。MBSは、社長がセキュリティと監視体制を強化していると述べたと伝えています（MBSニュース）。
攻撃が続いている間は、話題に便乗した「お詫び」「確認のお願い」を装う二次的な詐欺も出やすくなります。ここまではあくまで編集部の予想であり、断定ではありません。ただ、届いたメールを差出人だけで信じないという姿勢は、どの展開になっても役に立ちます。
アルカディアの偽メールとは？いつ・何通・どんな内容か
アルカディアは大阪府箕面市のIT会社で、自治体向けの防災情報配信サービス「SpeeCAN RAIDEN」を運営しています。10月11日に不審な挙動を確認し、不正アクセスが判明しました（箕面市）。
その後、攻撃者が設置したバックドア（裏口）から不正なプログラムが動き、同社のシステムから偽メールが一斉に送られました。配信は会社側の措置で7時16分に止まっています（ITmedia NEWS）。
| 項目 | 内容 |
|---|---|
| 配信日時 | 2026年10月13日 1時17分〜7時16分 |
| 配信総数 | 142万3428通 |
| 内容 | カード会社などを装ったフィッシング詐欺の疑い |
| 届いた人の例 | 静岡市防災メールに登録している市民・市職員 |
| 差出人の例 | @raiden.ktaiwork.jp を含むアドレス |
静岡市は、市の防災メール登録者に届いた不審メールについて、送信元に防災メールが実際に使うドメインが含まれていたと公表しました（静岡市 市長臨時記者会見資料）。普段の防災メールと同じ差出人に見えるため、見分けにくい点が今回の厄介なところです。
メールやネットの詐欺対策を見直すなら、パソコンやスマホのセキュリティソフトも選択肢になります。
▼ セキュリティソフトはこちらから探せます
※対応OSや台数は製品ごとに異なります。リンク先でご確認ください
偽メールが届いたときにやること・やってはいけないこと
箕面市や柏市は、登録者に向けて同じ趣旨の注意を呼びかけています。URL・添付ファイルを開かない、個人情報を入力しないの2点が柱です（箕面市・柏市）。
| やること | やってはいけないこと |
|---|---|
| 開かずに削除する カード会社へは公式アプリで確認 自治体の公式サイトで続報を確認 入力してしまったらカード会社へ連絡 | 本文のURLを押す 添付ファイルを開く 返信して問い合わせる 差出人ドメインを受信拒否 |
受信拒否をしないほうがよい理由
一番迷いやすいのが受信拒否です。偽メールの差出人に防災メールの正規ドメインが含まれていたため、ドメインごと拒否すると本物の避難情報や気象警報まで届かなくなるおそれがあります。静岡市も、送信元を「ブロック」や「迷惑メール」に設定すると市の防災情報が届かなくなると注意しています（静岡市 市長臨時記者会見資料）。
迷惑メールを減らしたい場合も、個別のメールを削除する対応にとどめるのが安全です。防災メールは災害時に命を守るための連絡手段なので、止めてしまうと困るのは自分自身です。
カード情報を入力してしまったときは
SpeeCAN RAIDENではクレジットカードなどの決済情報は扱っておらず、漏えい対象ではないと同社は説明しています（アルカディア公式ブログ）。危険なのは、偽メールのリンク先で自分から入力してしまった場合です。
入力してしまった場合は、カード裏面の番号からカード会社へ連絡し、利用停止や再発行を相談します。メール本文に書かれた電話番号やURLは使わないでください。不審な請求がないか、利用明細もあわせて確認しておくと安心材料になります。
なぜ本物の防災メールの差出人から届いたのか
理由は、攻撃者がアルカディアの配信システムそのものを乗っ取って送ったからです。同社の説明資料によると、メディアサーバーのディレクトリパストラバーサルの脆弱性を突かれ、設定ファイルからサービス間ログイン用のシークレットキーが流出しました（アルカディア公式ブログ）。
同社は12日3時に侵入経路を塞ぎましたが、すでに設置されていたバックドアから13日未明に大量配信が行われました。ITmediaは、侵入経路を塞いだ後もバックドアから不正プログラムが動いた経緯を分単位の時系列で伝えています（ITmedia NEWS）。
攻撃開始から検知までの遅れも指摘されています。日本経済新聞は、外部からの攻撃を約17時間検知できなかったと報じました（日本経済新聞）。正規のシステムから送られたため、受け取る側の迷惑メールフィルターもすり抜けやすかったと考えられます。
登録者が今やっておきたいこと
同社の説明資料には、住民への案内は個人情報保護法の目的外利用になるため、会社から直接メールは送っていないと書かれています。つまり、登録者向けの正式なお知らせは各自治体から届く形になります。
- 住んでいる自治体の公式サイトで防災メールのお知らせを確認する
- 「会社からのお詫びメール」を名乗る連絡はまず疑う
- 同じパスワードを別サービスで使っている場合は変更を検討する
- 家族の登録状況も確認し、高齢の家族には一声かける
アルカディアの偽メールに関するQ&A
Q1. 偽メールを開いただけで被害はありますか？
自治体の注意喚起は、URLや添付ファイルを開かないこと、個人情報を入力しないことを求めています。本文を表示しただけで何かが起きるとは書かれていません。リンク先での入力や添付ファイルの実行が危険なので、心配な場合は削除して、セキュリティソフトで端末を確認しておくと落ち着けます。
Q2. 防災メールを登録していないのに届きました。なぜですか？
公式発表では、142万3428通のうち少なくとも86万9575通は同社の保有アドレス宛てではなかったとされています。防災メールの登録がない人にも届いていたことになります。どのリストから宛先が選ばれたかは、まだ公表されていません。
Q3. 自分のアドレスが漏れたか確認する方法はありますか？
現時点で、個人が自分のアドレスを照会できる仕組みは案内されていません。件数は最大約313万6000件の推定値で、調査が続いています。自治体ごとに件数を公表している例もあるため、住んでいる自治体の公式サイトを確認するのが確実です。
Q4. 防災メールは解除したほうがいいですか？
解除すると、災害時の避難情報が届かなくなるデメリットがあります。偽メールは削除で対処し、防災メールは続けて受け取るのが基本です。不安が強い場合は、テレビやラジオなど別の情報源も用意しておくと、メールに頼りきらずに済みます。
Q5. この先も偽メールは届きますか？
この記事の考察では、差出人を変えた詐欺メールがしばらく続くと予想しました。これは編集部の予想であり、断定ではありません。同社はダークウェブ調査の結果を後日報告するとしているので、続報で状況が分かる見込みです。
Q6. 問い合わせ先はどこですか？
アルカディアは公式ブログで個人情報に関する相談窓口を案内しています。受付は平日の日中です。住んでいる地域の防災メールの扱いについては、各自治体の防災担当課が窓口になっています。
今後の見通し
同社は、アクセスログなどをもとに被害届を提出する予定としています。外部の第三者機関による詳細調査や、外部会社への脆弱性診断の委託も進める方針です（アルカディア公式ブログ）。
賠償について日本経済新聞は、方針を弁護士と相談中と伝えています（日本経済新聞）。ダークウェブ調査の結果と、漏えい件数の確定が次の注目点です。
まとめ
アルカディアのシステムから、10月13日未明に142万3428通の偽メールが送られました。差出人に防災メールと同じドメインが使われた例もあり、見た目では見分けにくい状態です。
届いたらURLを開かず削除し、カード会社への確認は公式アプリや裏面の番号から行います。差出人ドメインの受信拒否は、本物の防災メールまで止めるおそれがあるので避けましょう。続報は自治体の公式サイトで確認してください。
コメント