📡 Signal｜大阪市の行政オンライン、アララ経由で107万件のアドレス漏えい

大阪市は11月13日、住民票の写しの請求などに使う「大阪市行政オンラインシステム」の利用者のメールアドレス107万8,713件が漏えいしたと発表した。システムを提供する TKC が使っていた外部のメール配信サービス、アララの「アララメッセージ」への不正アクセスによるもので、市はこれを終報とした。

大阪市「大阪市行政オンラインシステムにおいて利用するメール配信サービスでの情報漏えいについて（終報）」(11月13日・107万8,713件、対象期間、9月16日の一斉送信)大阪市

対象は、7月1日から10月31日までにシステムからメールを受け取ったアドレスだ。件数がここまで膨らんだのは、9月16日に利用者登録をした全員へお知らせメールを一斉に送っていたためだと、市は説明している。お知らせを一度送ったことが、漏えいの範囲をそのまま市の利用者全体へ広げた。

第1報から終報まで10日

大阪市の発表は3回に分かれた。

• 11月3日 (第1報) — TKC が利用していたアララのメール配信サービスが10月31日に不正アクセスを受け、緊急の保守に入ったと公表。利用者のメールアドレスや氏名などが漏えいした可能性があるとし、件数は未確定。システム本体や TKC のデータセンターへの不正アクセスは確認されていないとした
• 11月4日 (第2報) — 漏えいした可能性があるのはメールアドレスのみで、メール本文、マイナンバー、申請の情報は漏えいしていないとの報告を受けたと公表
• 11月13日 (終報) — 漏えいしたメールアドレスを107万8,713件と確定

終報の時点でも、メール送信の機能は止まっている。第1報によると、利用者登録、メールアドレスの変更、パスワードの再設定ができない状態が続いている。市は対象者への個別の連絡を検討中とし、特定のアドレスが対象かどうかの問い合わせには答えないとしている。

同じ13日、市は別の事業の終報も出した。大阪市プレミアム付商品券2026事業でも、受注事業者が使っていた外部のメール配信サービスへの不正アクセスで、利用者3万3,868件と参加店舗1万4,669件のメールアドレスが漏えいした。

配信を1社に集めた構造

アララが11月6日に出した第3報によると、10月28日から31日にかけて第三者が認証情報を不正に使って同社のクラウド環境に入り、メールアドレスを外部に持ち出した。持ち出されたアドレスは重複を除いて8,132万9,467件で、対象の契約企業は最大約380社と推計している。アララメッセージは10月31日から全面的に止まり、再開の時期は決まっていない。

第1報によると、アララのサービスを使っていたのは市ではなく、システムを提供する TKC だった。市の手続きの通知は、TKC を経てアララから送られていた。市の側からは見えにくい二段目の委託先が、107万件の窓口になった。

アララ経由の漏えいは、民間の会員サービスから行政へ広がっている。内閣府のメールマガジンでは6万2,863件のアドレスが漏えいした (11月11日の記事)。横浜市の電子申請もログインできなくなった (11月4日の記事)。自治体の手続きを電子化するほど、通知のメールは外部の配信サービスへ集まる。そこが一度破られると、複数の自治体や官庁の利用者が同時に影響を受ける。

漏れたのはアドレスでも、届くのは偽のメール

漏えいしたのはメールアドレスだけで、申請の内容やマイナンバーは含まれていないと市は説明している。それでも被害が小さいとは言い切れない。アララの第2報によると、侵入の期間中、クレジットカード会社を装った不審なメールが最大約713万通送られた。

107万件のアドレスは、「大阪市の行政手続きを使った人」という属性つきの名簿になる。市や手続きを名乗る偽のメールは、ただの迷惑メールより開かれやすい。市は終報で、市や本システムを名乗る不審なメールに注意し、金銭の支払いを求めるメールには応じないよう呼びかけている。

次に見るもの

確認先は二つある。

• 大阪市の報道発表資料 (デジタル統括室) — 市は TKC に原因、影響範囲、再発防止策の詳しい報告を求め、外部サービスの安全管理を改めて検証するとしている。対象者への個別の連絡をどう行うかも、ここで公表される
• アララの適時開示 — アララメッセージの再開の時期と、侵入経路の特定の結果。同社は業績への影響を精査中としており、次の開示で件数と影響額が更新される

ことば

• アララメッセージ — アララが企業や団体に提供するメール配信サービス。会員向けのお知らせや手続きの通知を大量に送る用途で使われ、今回の侵入では利用者のアドレスがまとめて持ち出された。
• 大阪市行政オンラインシステム — 住民票の写しの請求などの行政手続きをオンラインで申請できる大阪市の仕組み。TKC が提供し、申請の受付や結果の通知にメールを使う。
• 終報 — 自治体が事故の調査を一区切りとするときに出す最後の報告。件数を確定させるが、原因や再発防止策の報告は、その後も別に出ることがある。

🔗 一次ソース

• 大阪市「大阪市行政オンラインシステムにおいて利用するメール配信サービスでの情報漏えいについて（終報）」(11月13日・107万8,713件、対象期間、9月16日の一斉送信)大阪市
• 大阪市「同（第2報）」(11月4日・漏えいはメールアドレスのみ)大阪市
• 大阪市「同（第1報）」(11月3日・TKC が利用するアララのサービス、10月31日の不正アクセス、機能の停止)大阪市
• 大阪市「大阪市プレミアム付商品券2026事業において利用するメール配信サービスでの情報漏えいについて（終報）」(利用者3万3,868件・店舗1万4,669件)大阪市
• アララ「アララメッセージへの不正アクセスによる情報流出およびサービス停止について（第3報）」(11月6日・8,132万9,467件、最大約380社、サービス停止)arara.com
• アララ「同（第2報）」(11月2日・不審メール最大約713万通)arara.com
• NHK ニュース (市民らのメールアドレス100万件余りの漏えい)news.web.nhk