同じ市で別々の2件が同時に起きた。報道では混ざっている

• 福岡市で起きているのは原因の違う2件。報道では混ざっている
• いちばん重いのは避難情報を受け取りにくい人の電話番号1,038人分
• 契約が終わった後もデータが残っていた件がある

福岡市のイベント施設で2,239件が流出した疑い、という記事を読んだ。原因はWeb制作サービスのStudioとされている。

ところが福岡市の発表を読むと、別の事案も同時に進んでいた。原因の会社が違う。

報道では2件が並べて書かれることが多く、混ざって見える。分けて読んだほうがいいので、整理する。

2件を分ける

性質がまったく違う。片方は防災のメール配信、片方はホームページの制作ツールだ。

気づくまでの時間に差がある

アルカディアは不審な挙動を確認してから、約10時間半で侵入経路を遮断している。深夜の作業だ。

Studioのほうは、福岡市の発表にこう書かれている。

Studio 株式会社は、同社のクラウド環境に第三者が不正アクセスし、環境内のデータを外部から取得できる状態（９月 30 日～10 月１日）であることを確認し、翌 10 月 14 日に脆弱性を修正（中略）10 月 16 日に本件に関する公表が行われた

読める状態だったのが9月30日から10月1日。確認したのは10月13日。12日ほど気づいていない。

Studio側の経緯は暗号化していたデータも読まれた件に書いた。鍵が同じ場所にあったのが効いている。

いちばん重いのは、ここだと思う

防災推進課の発表にある項目が、他と性質が違う。

福岡市避難情報配信システム登録者※の電話番号、FAX 番号、配信希望理由 1,038 人分
※視覚や聴覚に障がいがある、携帯電話を持っていないなど、避難情報などの入手が困難な方

登録している時点で、その人の事情が分かる名簿になっている。

さらに「配信希望理由」まで入っている。なぜ登録したかが書かれた欄だ。

電話番号とFAX番号が漏れただけ、とは言いにくい。連絡が取りやすく、確認が取りにくい人のリストになりうる。

それでも配信は止めていない

発表にはこう書かれている。

なお、登録者への避難情報の配信については、すでに不正アクセスの侵入経路を遮断しており、事業者により安全が確認されているため、引き続き継続します。

ここは正しい判断だと思う。止めると、避難情報が届かなくなる人が出る。

同じ日に書いたふるさとチョイスの止め方では、全部止めるのが正解だった。止めるのが正解とは限らない。何が止まると困るかで変わる。

もう1つ気になった点：契約が終わっていた

消防局の発表に、短いが重い記述がある。

消防局が同サービスを利用していた令和６年 12 月１日から令和７年３月 31 日までの期間に登録されていた情報が契約終了後も削除されずに保存され、当該情報について外部へ漏えいした可能性を否定できないことが判明しました。

もう使っていないサービスに、データが残っていた。件数は234件（事業所名とメールアドレス）。

これは作る側に刺さる。解約したら消えている、と思い込んでいないかという話だ。

今月は退会後7年の保有をやめた件もあった。使い終わったデータが、いちばん忘れられる。

福岡市の発表、3本の内訳

上の2つがアルカディア、いちばん下がStudioだ。

このほか、官民共働の施設Fukuoka Growth Nextでも同じ事案が起きていると、創業課の発表が触れている。

報道で出ている福岡コンベンションセンターの2,239件はStudio系、久留米市のメール配信システムはアルカディア系になる。久留米市の告知は防災対策課から出ており、職員参集メールと防災メールが対象だ。

混ぜて読むと、何を間違えるか

ここが本題だ。原因が違うと、やることが変わる。

1. 自分が対象かどうかの判断を間違える。「福岡市で漏れた」では範囲が分からない
2. どこに問い合わせるかを間違える。発表ごとに窓口が違う
3. 対策の重さを見誤る。メールアドレスだけと、電話番号＋事情では別の話になる

第一報をどう読むかはまだ何も分かっていない発表をどう読むかに書いた。まず原因を1つに決めつけないのが入口になる。

登録していた人がやること

どちらの件も、福岡市は「現時点において情報の流出は確認されておりません」としている。可能性の段階だ。

そのうえで、やることは共通している。

1. 役所や施設を名乗る連絡を、リンクから開かない。いまがいちばん来る時期
2. 電話にも同じ用心をする。今回は電話番号が入っている
3. 折り返しは、自分で調べた番号へかける。かかってきた番号にかけ直さない

2番目と3番目は、メールアドレスだけの漏えいでは言わないことだ。今回は電話番号が含まれるので、重さが違う。

偽の案内の見分け方は漏えいの後に届く「お詫びとお知らせ」に書いた。

作る側の持ち帰り

今回の3本を読んで、すぐやれることが2つある。

1. いま使っている外部サービスを、全部書き出す。フォーム、メール配信、予約、地図。どこに何を預けているか
2. 解約したサービスも書き出す。そして消したかどうかを確認する

2番目をやっている人は少ないと思う。消防局の234件は、まさにそこだった。

預け先が侵害されると、こちらに落ち度がなくても、こちらが謝る側になる。制作を請ける側の責任については報告をいったん保留してほしいと言われた話に書いた。

まとめ

• 福岡市で起きているのは原因の違う2件。アルカディアとStudio
• 避難情報配信システムは1,038人分。登録者は避難情報の入手が困難な方
• 項目は電話番号、FAX番号、配信希望理由。事情が分かる名簿になる
• 避難情報の配信は止めていない。止めると届かない人が出るため
• 消防局の234件は契約終了後も削除されずに残っていた
• Studio側は9月30日〜10月1日に読める状態。確認は10月13日
• アルカディア側は確認から約10時間半で遮断
• いずれも流出は未確認。可能性の段階

出典

• 福岡市 市民局防災推進課「一斉情報配信サービス運営事業者への不正アクセスによる個人情報漏えいの可能性について」（令和8年10月14日。1,038人分、対象者の説明、配信を継続する判断）
• 福岡市 消防局予防課「情報配信サービス運営事業者への不正アクセスによる登録情報（個人情報含む）の漏えいの可能性について」（令和8年10月16日。234件、契約終了後も削除されていなかったこと）
• 福岡市 経済観光文化局創業課「Web制作事業者への不正アクセスによる個人情報漏えいの可能性について」（令和8年10月16日。42人分、Studio側の経緯とデータを取得できた期間）
• 久留米市「久留米市メール配信システム登録情報漏洩の可能性について」（防災対策課。対象が職員参集メールと防災メールであること）
• 福岡コンベンションセンターの2,239件は日本経済新聞の報道による（2026年10月19日）

本記事は2026年10月20日時点の公表内容に基づく。いずれの件も流出は確認されておらず、調査中である。続報で内容が変わる可能性があるため、最新の情報は各発表元で確認すること。本記事は法的な助言ではない。