防災メール142万通不正配信｜委託先から顧客を守る実務対策

「顧客へのメールは外部サービスに任せているから、配信の安全管理もすべて委託先の仕事」

そう考えていませんか。

2026年10月、自治体などが利用する一斉情報配信サービス「SpeeCAN RAIDEN」が不正アクセスを受け、システムから大量のフィッシングメールが送信される事故が発生しました。

運営会社アルカディアの公式発表によると、不審メールの配信総数は1,423,428通です。

今回の重要な点は、外部委託先のシステムが悪用され、利用者へ不審なメールが届いたことです。

メール配信、顧客管理、予約受付などを外部サービスに任せている中小企業にも関係する問題です。

この記事では確認された事実と一般的なリスクを区別し、社長が費用をかけずに実施できる対策を紹介します。

1．防災メール配信サービスで何が起きたか

大阪府箕面市の株式会社アルカディアが運営する「SpeeCAN RAIDEN」で、第三者による不正アクセスが発生しました。

同社は2026年10月11日に不審な挙動を確認し、翌12日に侵入経路を塞ぐ応急措置を実施しました。

その後、同社システムから不審なメールが配信されたことが判明しています。

SpeeCAN RAIDENは、自治体や団体などが防災情報や連絡事項を一斉配信するサービスです。

実際に複数の自治体が、個人情報漏えいの可能性やサービスへの影響について公表しています。

公式情報：アルカディア｜不正アクセスに伴う一連の対応

2．約142万通という数字の意味

アルカディアが公表した不審メールの配信総数は、1,423,428通です。

配信された時間帯は、2026年10月13日午前1時17分から午前7時16分までです。

同社は配信内容をフィッシング詐欺と説明しています。

また、少なくとも869,575通については、同社内に保有するメールアドレスへの配信ではなかったことも公表しています。

したがって、約142万通すべてが自治体の防災メール登録者に届いたと考えるのは正確ではありません。

配信通数は、被害を受けた人数や個人情報の漏えい件数とも異なります。

3．個人情報漏えいの可能性と対象情報

アルカディアは、SpeeCAN RAIDENで扱う個人情報について、漏えいの可能性があると発表しています。

連絡先の名前、担当者情報、契約情報、配信履歴に保存された本文なども、漏えいの可能性がある情報として示されています。

なお、同サービスではクレジットカードなどの決済情報を取り扱っておらず、漏えい対象ではないと説明されています。

漏えい範囲の調査は続いており、最新の発表を確認する必要があります。

4．フィッシングメールが送られた仕組み

アルカディアの公式発表によると、不正なプログラムによって同社のシステムから外部へメールが送信されました。

フィッシングメールとは、実在する企業などを装い、偽サイトへ誘導して情報を盗み取ろうとするメールです。

今回の事故は、単に登録情報が閲覧された可能性があるという問題にとどまりません。

メール配信機能そのものが悪用された点が重要です。

ただし、メールを受け取った全員が偽サイトを開いたり、金銭被害を受けたりしたと確認されたわけではありません。

5．委託先の事故が顧客へ及ぶ理由

企業は、顧客へメールを送るために外部の配信サービスを利用することがあります。

そのサービスに不正アクセスが発生すると、顧客情報の漏えいや不審なメールの配信につながる可能性があります。

顧客から見れば、普段利用している企業や自治体の連絡サービスに関係する事故です。

そのため、委託元の企業にも問い合わせが寄せられる場合があります。

ただし、委託先で事故が起きたからといって、委託元が必ず損害賠償責任を負うわけではありません。

責任や必要な対応は、契約内容、情報の取扱い、事故原因、法令上の義務などによって異なります。

関連記事：外部クラウドサービスに依存するリスクと企業の備え

6．中小企業でも起こり得る影響

防災メールの事故は、自治体だけの問題ではありません。

中小企業でも、外部サービスを使って顧客に連絡している場合があります。

これらは一般的なリスクの例であり、今回の事故ですべて発生したという意味ではありません。

7．建設会社が確認したい外部サービス

建設会社でも、顧客や協力会社へ連絡するために外部サービスを利用します。

• 施主への工事日程の連絡
• 協力会社への現場予定の通知
• 従業員への緊急連絡
• 取引先への請求案内
• 安全情報や災害情報の配信

その際、担当者の氏名やメールアドレス、電話番号などをサービスに登録している場合があります。

まずは、どのサービスへどのような情報を登録しているかを把握しましょう。

8．無料対策① 委託先を一覧にする

最初の対策は、顧客や従業員への連絡に使っている外部サービスを一覧にすることです。

Excelや紙の表でも構いません。

記録したい項目

• サービス名
• 運営会社名
• 利用目的
• 登録している情報
• 社内の管理担当者
• 事故時の連絡先

利用しているサービスが分からなければ、事故が起きた際に影響を確認することも難しくなります。

9．無料対策② 認証と権限を確認する

次に、外部サービスの管理画面を誰が利用できるか確認します。

アルカディアは事故後、対象サービスのログイン時二段階認証の利用を案内しています。

自社でも次の項目を確認しましょう。

• 二段階認証・多要素認証を利用できるか
• 退職者のアカウントが残っていないか
• 管理者権限を持つ担当者は誰か
• 複数人で同じアカウントを共有していないか
• サービス事業者からの重要通知を受信できるか

認証の強化は重要ですが、それだけで今回のような不正アクセスを完全に防げると断定することはできません。

10．無料対策③ 顧客連絡の手順を決める

委託先のメール配信サービスが利用できなくなった場合、顧客へどのように連絡するか決めておきましょう。

例えば、電話、公式サイト、別の連絡手段などです。

ただし、事故の状況によっては、登録済みの連絡先情報自体の安全性も確認する必要があります。

社内で決めたいこと

1. 事故情報を確認する担当者
2. 顧客への注意喚起を判断する責任者
3. 通常の配信サービスが使えない場合の代替手段
4. 問い合わせを受ける窓口

関連記事：サイバー事故に備える緊急連絡先の準備

11．不審メールを受け取った場合の対応

不審なメールを受け取った場合、本文中のリンクや添付ファイルを安易に開かないことが基本です。

メールに記載された電話番号ではなく、公式サイトなどから確認した窓口へ問い合わせましょう。

すでにパスワードなどを入力してしまった場合は、正規サイトから認証情報を変更し、必要に応じて関係先へ連絡してください。

クレジットカード情報を入力した場合は、カード会社にも速やかに相談する必要があります。

企業では、受信したメールや発生時刻などを記録し、社内の担当者へ報告する手順を整えておきましょう。

12．社長向け委託先管理チェック表

すべてを一度に整える必要はありません。まず一つのサービスから確認しましょう。

13．今日の一歩とまとめ

今回のアルカディアの不正アクセスでは、外部の情報配信システムが悪用され、約142万通のフィッシングメールが配信されました。

これは、委託先の事故が利用者や顧客への連絡に影響することを示す事例です。

大切なのは、外部サービスの利用を避けることではなく、委託先に任せている業務と情報を把握することです。

関連記事：中小企業のサイバー保険と実務上の確認ポイント

※本記事は2026年10月23日までのアルカディア公式発表を基に作成しています。情報漏えいの可能性と確定した不審メール配信を区別しています。最新情報は公式サイトをご確認ください。