📡 Signal｜横浜市の電子申請、アララ侵害でログイン不能に

横浜市は 11 月 3 日、市の電子申請・届出システムが使うメール送信サービスに第三者の不正アクセスがあり、利用者のメールアドレスや利用者名が漏えいした可能性があると発表した。システムの利用者登録は約 82 万件 (個人と事業者のアカウント数・11 月 2 日時点)。メール送信を担っていたのは、10 月末に侵入を受けたアララの配信サービスで、市はそれを委託先の TKC を通じて使っていた。

アララの侵害は、前日の Signal で最大約 380 社・約 7,700 万件まで広がったと伝えた。本稿で新しいのは、被害が企業の会員名簿から、市民が行政手続きに使う窓口の登録情報へ及んだことだ。しかも窓口の側は、メールが止まっただけでログインそのものができなくなった。

市が知るまでの 3 日間

市の発表資料の経緯は、委託の層を順に伝わってくる連絡の記録になっている。

10 月 31 日 17 時 31 分ごろ: 委託先の TKC から「セキュリティ上の予防措置として緊急メンテナンスを行う」ためメール送信サービスを止めるとの連絡。17 時 40 分ごろ停止
11 月 1 日 12 時 41 分ごろ: TKC から、メール送信サービスの事業者が第三者の不正アクセスを検知したとの報告
11 月 2 日 9 時ごろ: アララが自社サイトに情報流出とサービス停止を掲載
同日 18 時ごろ: TKC から、情報漏えいの可能性と、影響を受けるシステムに「スマート申請システム (横浜市電子申請・届出システム)」も含まれることの報告

停止の最初の連絡は「予防措置」だった。市のシステムがアララの侵害の対象だと分かったのは、アララの公表から 9 時間後になる。漏えいの件数と、市の利用者情報に実際の影響があったかどうかは、TKC とアララが確認中としている。

メールが止まると、ログインも止まる

今回の発表で目を引くのは、影響の出方だ。市によると、現在の緊急メンテナンスの間、次のことができない。

利用者登録、メールアドレスの変更、パスワードの再設定
ログイン (ログイン時のメールによる二要素認証が使えないため)
利用者への確認メールの送信

ログインが要らない手続きには影響がない。市のシステムで使える手続きは約 2,500 件 (11 月 2 日時点)。

メールは本人確認の 2 段目の鍵として使われていた。その鍵を届ける配達の仕組みが外部の 1 社に預けられていて、そこが止まると、市が自分で持つ申請システムは無傷でも、住民は中に入れない。前日の記事で見た「委託の先の、さらに先」に名簿が集まる構造は、漏えいの問題であると同時に、行政サービスの可用性の問題でもあった。

同じ製品を使う自治体は

市の資料が影響を受けるシステムとして書いたのは、TKC の製品名「スマート申請システム」だった。TKC の 2022 年 12 月の発表では、「TASKクラウドスマート申請システム」は 2022 年 10 月 1 日時点で全国 30 団体以上が導入し、横浜市のほか大阪市・堺市が主な導入団体として挙がっている。ほかの導入団体にも同じメール送信の経路が使われているかどうかは、市の資料からは分からない。

次に見るもの

確認先は三つある。横浜市の記者発表のページ (市は新たな事実が分かればウェブサイトで知らせるとしている)、TKC のニュースリリース欄、そしてアララの親会社ペイクラウドホールディングス (証券コード 4015) が東証の適時開示で出すとしている第 3 報だ。第 3 報で対象の契約企業と件数の精査が進めば、自治体の窓口のうちどこまでが同じ配信基盤に乗っていたかが見えてくる。登録している住民は、それまで市やサービスを名乗る不審なメール・SMS の URL を開かないことが、市の呼びかけだ。

ことば

二要素認証 — パスワードに加えて、メールで届く確認コードなど 2 つ目の手段で本人を確かめる仕組み。今回はコードを届けるメールの経路が止まり、ログイン自体ができなくなった。
電子申請・届出システム — 住民や事業者が役所に行かずにネットで申請や届出をするための仕組み。横浜市では約 2,500 件の手続きに使える。
委託事業者 — 自治体から業務を任された会社。今回は TKC が市のシステムを担い、その中のメール送信にアララのサービスを使っていた。

🔗 一次ソース

市が知るまでの 3 日間

メールが止まると、ログインも止まる

同じ製品を使う自治体は

次に見るもの

ことば

関連記事