大阪市行政オンラインシステム情報漏えいの可能性アララ不正アクセス

2026-11-03 コメント投稿する ▼

大阪市は2026年11月3日、大阪市行政オンラインシステムで使うメール配信サービスから、利用者の氏名やメールアドレスなどが漏えいした可能性があると発表しました。提供事業者TKCが利用するアララのメール配信サービスが不正アクセスを受けたためで、件数は確認中です。2026年10月31日からメールが送信できず、クレジットカード会社を装った不審メールも確認されています。大阪市はURLや添付ファイルを開かず、IDやパスワード、カード情報を入力しないよう呼びかけています。

大阪市は2026年11月3日、大阪市行政オンラインシステムで使っているメール配信サービスから、利用者の情報が漏えいした可能性があると発表しました。漏えいした可能性があるのは、利用者の氏名やメールアドレスなどです。システムの提供事業者である株式会社TKC（以下、TKC）が利用していた、アララ株式会社（以下、アララ）のメール配信サービスが不正アクセスを受けたことが原因とされています。

大阪市行政オンラインシステムで何が起きたのか

「大阪市行政オンラインシステム」は、マイナンバーカードやクレジットカードなどを使い、住民票の写しの請求など多くの手続きをインターネットで行えるシステムです。市役所の窓口に出向かなくても申請できる仕組みで、市民や事業者が利用しています。

大阪市によると、提供事業者のTKCから、TKCが利用しているアララのメール配信サービスが不正アクセスを受け、情報が漏えいした可能性があるとの報告がありました。報告があったのは2026年11月2日だったと報じられています。漏えいの可能性があるのは利用者の氏名やメールアドレスなどで、件数については、実際に漏えいがあったのかどうかも含めて確認が進められています。

システムは不正アクセスの被害が広がるのを防ぐため、緊急メンテナンスに入りました。2026年10月31日の午後5時40分ごろから、メールを送信できない状態が続いています。新規登録やメールアドレスの変更、パスワードの再設定もできない状態で、復旧の見通しは立っていないと伝えられています。

「住民票の手続きもオンラインでしている人は多いはず。自分の名前とメールアドレスが漏れたかもしれないと思うと不安です」
「市役所のシステムなのに、メール配信は別の会社のサービスだったなんて、今回の報道で初めて知りました」

アララのメール配信サービスで確認されている被害

アララは2026年10月29日、自社が提供する「アララメッセージ」に不正アクセスがあり、情報が流出したと公表しています。不正アクセスを確認したのは2026年10月28日です。原因は、一部のWebサーバーにあった脆弱性（システムの弱点）を第三者に悪用されたことだと説明しています。この時点で流出が確認されたのは、利用企業が登録していたメールアドレス約301万件で、メールアドレス以外の流出は確認されていないとしていました。

その後、2026年11月2日に公表された続報では、不正アクセスを受けた契約企業向けの環境に、最大で約380社が関わっていると報じられています。流出のおそれがあるメールアドレスは、約7,700万件にまで広がったとされています。この数字には、持ち出しが確認されたものと、持ち出されたおそれがあるものの両方が含まれています。

ただし、この約7,700万件は、そのまま大阪市の利用者の件数ではありません。大阪市の件数は発表されておらず、確認が進められている段階です。数字の大きさに驚くだけでなく、自分が対象かどうかは大阪市からの案内を待って確かめる必要があります。

「7,700万件という数字に驚きました。自分のアドレスも含まれていないか心配です」

不審メールへの注意点と市民ができること

大阪市は「不審なメールにご注意ください」と呼びかけています。心当たりのないメールに書かれたURLや添付ファイルは開かず、ID・パスワード、暗証番号、クレジットカード情報などを入力しないでください。

さらに大阪市は、問題の外部サービスが不正に使われ、クレジットカード会社を装ったメールがすでに送信されていると説明しています。そうしたメールを受け取った場合は、URLにアクセスせず削除するよう求めています。

市民や事業者に特定の対応をお願いする必要が出た場合は、システムの「お知らせ」や大阪市ホームページなどで案内するとしています。偽のメールは本物そっくりに作られることがあります。メールの中のリンクから確認しようとせず、大阪市ホームページなど、自分で開いた公式の場所で案内を確かめることが大切です。

「カード会社を名乗るメールが実際に届いていると聞いて怖くなりました。親はだまされやすいので、すぐ伝えます」

自治体の委託先管理が問われます

今回の件では、市のシステムを動かす事業者が、さらに別の会社のメール配信サービスを利用していました。個人情報を預かる自治体には、委託先だけでなく、その先で使われるサービスまで目を配る責任があります。

大阪市では2026年9月にも、採用試験で使う録画面接システムの事業者で、不正アクセスにより申込者の情報が漏えいした可能性があると公表されたばかりです。今回とは別の事案ですが、市民から見れば、同じ大阪市の個人情報を守れるのかという問題です。

便利さを求めてオンライン化を進めるなら、情報を守る仕組みも同じ速さで整える必要があります。どこが、どのように管理し、問題が起きたときに市民へ何を伝えるのか。その答えを具体的に示すことが、市民の信頼を守る土台になります。漏えいの有無と件数が確定した時点で、大阪市が分かりやすく説明することが求められます。