2026年10月、北海道では防災情報や緊急通報に関わるサービスへの不正アクセスと、ウェブサイトで広く使われる「PHP」の重大な脆弱性への対応が相次いだ。札幌市が利用する防災情報配信システムの運営会社では内部情報が取得され、個人情報が漏えいした可能性がある。一方、PHPの脆弱性を受けて札幌市の公式ホームページや道内の金融機関では、一時停止やメンテナンスが行われた。
二つは別の事案だ。アルカディアへの不正アクセスと、PHPの脆弱性「PHP2Shell」に共通の攻撃者や侵入経路があったことは確認されていない。発表内容を基に、北海道の住民や事業者への影響を整理する。情報は2026年10月27日時点。
防災情報の配信会社に不正アクセス 内部情報を取得
大阪府に本社を置く株式会社アルカディアは、自治体などに防災情報を配信する「SpeeCAN RAIDEN（スピーキャン・ライデン）」などを提供している。同社の公表資料によると、10月11日午前6時26分に攻撃者によるアクセスが始まり、同日午後11時40分、データベースへの異常な負荷を社内の監視で検知した。
同社は、添付ファイルを公開するサーバーに、本来参照できないファイルへアクセスできる「ディレクトリパストラバーサル」という脆弱性があったと説明している。攻撃者は設定ファイルからシステム間の接続に使う秘密情報を取得し、アカウントIDを総当たりで試してログインした後、内部情報を取得したという。
同社は10月12日未明に確認した侵入経路を遮断。その後も調査を進め、13日には不正プログラムによる大量のメール送信が判明した。一部サービスを緊急停止し、15日午後3時10分に復旧したとしている。
氏名や連絡先などに漏えいの可能性
同社が示したSpeeCAN RAIDENの情報には、連絡先の氏名、メールアドレス、電話・FAX番号、担当者や契約に関する情報、保存された配信本文の内容などが含まれる。10月23日の説明資料に掲載された最大推定件数は、メールアドレス約313万6,000件、電話番号約10万5,000件、FAX番号約1万5,000件だ。
これらは全国の対象サービスについて漏えいの可能性がある情報の推定値であり、漏えいが確定した人数ではない。同社は件数や影響範囲の調査を継続している。また、SpeeCAN RAIDENではクレジットカードなどの決済情報を扱っていないとしている。
不正メール142万3,428通 登録者だけに送られたわけではない
アルカディアによると、10月13日午前1時17分から午前7時16分までの間に、同社のシステムからフィッシング詐欺のメールが142万3,428通送信された。フィッシングとは、実在する企業などを装って偽サイトへ誘導し、情報を盗み取ろうとする手口だ。
同社は、このうち少なくとも86万9,575通は、同社が保有するメールアドレス宛てではなかったと説明している。送信総数を、同社サービスの登録者数や個人情報が漏えいした人数と同一視することはできない。
札幌の避難情報とNET119への影響
札幌市危機管理局は10月14日、避難情報等電話サービスに使うSpeeCAN RAIDENが不正アクセスを受け、利用者の氏名や電話番号などの登録情報が漏えいした可能性があると公表した。影響範囲は運営会社が調査中として、不審な電話への注意を呼びかけている。
同じ事案は、音声による119番通報が難しい人がスマートフォンなどから通報できる「NET119」にも及んだ。札幌市消防局の10月23日時点の説明によると、札幌圏消防指令センターが運用するNET119では、影響を受けた可能性がある過去の通報履歴のリスト259件を委託会社から受け取った。
内訳は、登録情報を含む本通報履歴88件と、メールアドレスのみの試験通報履歴171件。消防局は登録者情報と照合し、該当する人に個別にメールで知らせたとしている。この259件は履歴データの件数であり、漏えいが確定した人数を示すものではない。
消防局によると、NET119による119番通報の運用自体に影響はなく、既存登録者は通常どおり利用できる。一方、安全性が十分に確認・確保されるまで、新規利用者の登録受付は一時停止している。受付再開までの緊急通報について、市はFAX119番などの代替手段を案内している。利用状況は変わる可能性があるため、最新情報は消防局の案内で確認したい。
江別市では不審メールを確認 北広島市も登録者に説明
江別市は10月19日、不正アクセスの発生後、実在のクレジットカード会社を名乗り、カードの利用状況の確認や回答を促す不審メールが、サービスを利用する市民に届いたと公表した。市は、メールや電話で個人情報を伝えたり入力したりしないよう注意を促している。市の発表だけから、このメールの送信元や個々の受信者情報の入手経路まで確定することはできない。
北広島市も、同市が利用する一斉連絡サービスの登録情報と、札幌圏消防指令センターが利用するNET119の情報について、漏えいの可能性を知らせ、該当者に説明したとしている。市が示した人数は登録情報の範囲を説明するもので、その全員の情報が流出したと確定した数字ではない。
災害情報や緊急通報の仕組みは、自治体が直接運用する部分だけでなく、外部事業者のシステムにも支えられている。委託先で起きた問題が、住民への情報配信や登録受付に波及した事例といえる。
別件のPHP2Shell 札幌市のサイトや銀行も対応
アルカディアの事案とは別に、10月21日、ウェブサイトや業務システムで使われるプログラミング言語「PHP」に重大な脆弱性が公表され、修正版が公開された。二つの脆弱性は「PHP2Shell（ピーエイチピー・ツー・シェル）」と呼ばれ、それぞれCVE-2026-109618、CVE-2026-109619という識別番号が付いている。
PHPは、ウェブページの表示やフォームの処理などをサーバー側で担う技術だ。JPCERT/CCによると、これらの脆弱性が悪用された場合、PHPの実行プロセスの権限で攻撃者が任意のコードを実行できる可能性がある。実際に悪用できるかどうかは、バージョンや実行環境などの条件に左右される。
北海道ニュースUHBの21日の報道によると、札幌市は修正プログラムの適用前に攻撃を受ける可能性を考慮し、同日午後9時から公式ホームページのサーバーを予防的に停止した。同局の22日の報道では、市のホームページは簡易サイトを表示した後、同日午後2時過ぎに復旧したとされる。
同じ報道によると、北洋銀行のホームページはアクセス遮断後に22日昼ごろ復旧し、同行は顧客情報の流出は確認されていないと説明した。北海道銀行のアプリもメンテナンスのため21日夜から停止し、22日午後3時半ごろに復旧したという。これらの停止は脆弱性への対応として報じられたもので、停止したことだけを根拠に不正アクセスや情報漏えいがあったとはいえない。
事業者はPHP本体と提供元の更新情報を確認
情報処理推進機構（IPA）が示した修正版は、PHP 8.2.35、8.3.36、8.4.27、8.5.12だ。それぞれの系統で、これらより前のバージョンが対象となる。PHP 8.1以前はサポートが終了しており、修正プログラムが提供されないバージョンについては、サポートされる環境への更新や対策済みサービスへの移行を検討する必要がある。
ウェブサイトの管理を外部に委託している店舗や企業も、PHPの使用状況、サーバーや製品の提供元による対応、更新後の動作確認について、保守担当者に確認したい。JPCERT/CCは、修正済みバージョンへの更新に加え、侵害の有無を調査するよう推奨している。暫定的なアクセス制限などは環境によってリスクを減らせる場合があるが、更新の代わりにはならない。
またJPCERT/CCは10月26日の更新で、PHPの別の脆弱性CVE-2026-115560についても追記した。特定の設定とアプリケーションコードの組み合わせで影響を受けるもので、開発者は通常のリリースサイクルで修正する方針を示している。管理者は、対象環境と推奨される設定を公式情報で確認する必要がある。
AIは脆弱性の研究や事後の診断に使われた
PHP2Shellの研究者による説明では、Wiz Researchが脆弱性の発見、悪用可能性の研究、修正の検証にAIを利用したとしている。これは防御側の研究に関する説明であり、攻撃者が今回の攻撃にAIを使った証拠を意味しない。
一方、アルカディアは10月23日の説明資料で、社内利用に限定した大規模言語モデルを使い、全サービスの脆弱性診断とコードレビューを実施したと説明した。外部会社による脆弱性診断も今後の対応として挙げている。これも不正アクセス発生後の同社の対応であり、攻撃者によるAI利用とは別だ。
不審な連絡を確認し、更新後も監視を続ける
市民は、防災サービスやカード会社などを名乗る連絡を受けても、メールやSMSに記載されたリンクからすぐに情報を入力せず、普段使っている公式アプリや自分で確認した連絡先から問い合わせたい。氏名や電話番号を知っている相手でも、正規の連絡とは限らない。
自治体や企業には、外部委託先を含むシステムの更新状況の確認、アクセス管理の見直し、異常の監視、問題発生時に利用者へ代替手段を知らせる準備が求められる。アルカディアは、サービスごとのデータベース認証情報の見直しや監視強化、外部診断などを対策として示している。
IPAは10月27日、PHP2Shellの二つの脆弱性が米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）の、実際に悪用された脆弱性の一覧に現地時間26日付で掲載されたと伝えた。一方、IPAは国内の攻撃被害事例は把握していないとしている。
JPCERT/CCも10月26日の更新で、PHP2Shellの悪用を試みる通信を観測したとの報告が相次いでいると明らかにした。観測された試みが、北海道の特定のシステムへの侵害を意味するわけではない。それでも脆弱性の公表や修正版の公開後も脅威は続く。北海道の公共サービスや地域の事業者も、更新と侵害調査を継続し、市民も不審な連絡に注意することが大切だ。
今回の事案では、札幌市の防災情報配信と緊急通報システムの両方に影響が及びました。特にNET119は、既存利用者の通報が可能な一方で、新規登録が停止されています。
防災サービスの安全性だけでなく、必要な情報を受け取り、緊急時に通報できる手段を維持することも重要です。
