概要

株式会社アルカディアは2026年10月11日、同社が運営する「SpeeCAN RAIDEN」で不正アクセスが疑われる不審な挙動を確認した。10月12日午前3時頃に侵入経路を塞ぐ応急措置を講じ、影響範囲の調査を開始。10月13日に第一報を公表し、10月19日に判明した事実、影響範囲、対応状況などを発表した。添付ファイルを公開するメディアサーバにディレクトリパストラバーサルがあり、内部URLへのアクセスが可能だった。これを悪用して内部ソースファイルが取得され、設定ファイルに含まれるサービス間ログイン用のシークレットキーが漏れた。第三者はこのキーを使ってアカウントIDへの総当たり攻撃を行い、ログインしたセッションから内部情報を取得した。関連記事によると、同社に業務委託している唐津市の情報メール配信サービスにも影響が及んでいる。

経緯

経緯情報は未登録です。

原因

添付ファイルを公開するメディアサーバのディレクトリパストラバーサルを悪用されて内部ソースファイルが取得され、設定ファイル内のサービス間ログイン用シークレットキーが漏れた。第三者はこのキーを使ってアカウントIDへの総当たり攻撃を行い、ログインに成功した。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

影響を受けたユーザー数

不明

サービス停止

不明

金銭的被害

不明

対象システム

SpeeCAN RAIDEN、メディアサーバ

漏洩した情報

• 確認済み内部ソースファイル
• 確認済みサービス間ログイン用シークレットキー
• 確認済みログインされたセッションからの内部情報

内部ソースファイルとシークレットキーが取得され、不正にログインされたセッションから内部情報が取得された。関連記事によると、委託元である唐津市の情報メール配信サービスにも影響が及んでいる。影響件数は記事に記載がない。

対応

10月12日午前3時頃に侵入経路を塞ぐ応急措置を講じ、影響範囲の調査を開始した。10月13日に第一報を、10月19日に経過と対処状況を公表した。

• 侵入経路を塞ぐ応急措置
• 影響範囲の調査
• 経過と対処状況の公表

教訓・対策

• 公開サーバにパストラバーサルなどの脆弱性がないか点検する
• シークレットキーを設定ファイルやソースと分けて安全に管理する
• 総当たり攻撃を検知・制限する仕組みを入れる

参考資料

1. メディアサーバにディレクトリパストラバーサルが存在 ～ アルカディア運営の「SpeeCAN RAIDEN」に不正アクセス
   ScanNetSecurity公開日: 2026-10-30報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

株式会社アルカディア

関連するインシデント

関連付けられたインシデントはありません。