要点
- 大阪市は、行政オンラインシステムの利用者のメールアドレス1,078,713件が漏れたと発表した。
- 漏れたのはメールアドレスだけとされるが、市をかたる偽メールが届くおそれがある。
- 特定のアドレスが対象かどうかの問い合わせに、市は答えないとしている。自分のメールの受信履歴で確かめる必要がある。
何が起きたか
大阪市は2026年11月13日、行政オンラインシステムの利用者のメールアドレスが外部に漏れたと発表した。件数は1,078,713件だ。
原因は市のシステム本体ではない。システムを提供する株式会社 TKC が使っていた、アララ株式会社（Arara）のメール配信サービスが、第三者に不正アクセスされた。TKC から市への報告は11月2日に届いた。市の第1報（11月3日）によると、市のシステムや TKC のデータセンターへの不正アクセスは確認されていない。
市の説明では、2026年7月1日から10月31日の間にこのシステムから届いたメールの宛先が対象だ。利用者登録やログイン、申請手続、市からのお知らせなどに伴うメールが含まれる。送信元は info-osaka-online@city.osaka.lg.jp である。件数が大きくなった背景には、9月16日に登録者へ一斉にお知らせを送ったことがあると、市は説明している。
第1報では、氏名なども漏れた可能性があるとされていた。13日の発表で確認された項目は、メールアドレスである。
第1報によると、10月31日17時40分頃から、このシステムのメールが送信できない状況になった。外部サービス側で緊急メンテナンスが実施されたためとされる。利用者登録やパスワードの再設定は、第1報の時点でできない状態だった。13日時点の状況は、確認できていない。
日本の利用者への影響
影響は日本の自治体の利用者に直接及ぶ。市のシステムの利用者が対象だ。The Record は、市が約280万人の住民に偽メールへの注意を呼びかけたと伝えている。
大阪府も、行政オンラインシステムの利用者のメールアドレスが漏れた可能性があると公表している。ただし府の発表文は「外部メール配信サービス」としか書いておらず、Arara とは名指ししていない。The Record は府の件を食料支援事業の情報漏えいとも書いている。市の件と同じ事案かどうかは、こちらの推定にとどまる。
The Record によると、Arara は約400の顧客から計7,700万件のアドレスが漏れたと報告した。この数字は Arara 側の報告として報じられたもので、こちらでは原文を確認できていない。
また、Arara のサービスを使って、カード会社などをかたる迷惑メールが大量に送られたとも報じられている。大阪市の第1報も、カード会社を装うメールが送られているとして注意を呼びかけた。
今すぐやること
- 7月1日〜10月31日に、上記の送信元から届いたメールがないか、受信箱を探す。特定のアドレスが対象かどうかという問い合わせには、市は答えないとしている。
- 身に覚えのないメールは、本文のリンクも添付ファイルも開かない。パスワードやカード番号などの入力も避ける。
- 市やカード会社を名乗る連絡は、メールのリンクを使わず、大阪市の公式ホームページや、カード裏面の連絡先から確かめる。
- 送金を求めるメールは無視する。市もこの点を呼びかけている。
- 不安があれば、大阪市総合コールセンター（06-4301-7285、8時〜21時）に聞く。
背景
今回は、自治体が直接侵入されたのではなく、委託先が使う外部サービスから漏れた形だ。市自身も、外部サービスでの個人情報の扱いや、事業者との連携を検証するとしている。
メールアドレスだけでも、偽メールの宛先リストとして使われうる。しかも今回は、本物の市のメールを受け取った人の一覧だ。「市からの連絡」を装った偽メールは、本物らしく見えやすい。
The Record は、日本で2026年に入り、大きな組織への攻撃が続いていると伝えている。ただ、その数字や分析は報道側のものだ。
技術者向けの詳細
- 市の発表（11/13）：対象は2026-07-01〜2026-10-31の送信先。件数は1,078,713。対象の割り出しは、TKC が外部サービス事業者から得た情報をもとに行ったとされる。
- 第1報（11/3 13時）：10/31 17:40頃からメール送信ができない状況となった。外部サービスの被害拡大を防ぐ緊急メンテナンスが原因とされる。
- 市は TKC に、原因・影響範囲・再発防止策の報告を求めている。対象者への個別の通知は検討中とされる。
- 市のシステムや TKC のデータセンターへの不正アクセスは、第1報の時点で未確認。
- 組織側は、外部のメール配信事業者に預けた宛先データの範囲と保管期間を見直すとよい。
