大阪市は11月13日、市の手続きをオンラインで申請する「大阪市行政オンラインシステム」の利用者のメールアドレス1,078,713件が漏えいしたと終報で公表した。システムを提供する TKC が使っていた外部のメール配信サービスが不正アクセスを受け、7月1日から10月31日までにシステムからメールを受け取った人のアドレスが対象になった。
大阪市 報道発表 行政オンラインシステムの情報漏えい (終報・2026年11月13日)大阪市
市は、個別のアドレスが対象かどうかの問い合わせには答えないとしている。自分が含まれるかは、自分の受信箱で確かめるしかない。
対象は「7月から10月に市からメールを受け取った人」
終報によると、漏えいした項目は利用者のメールアドレスで、件数は1,078,713件。対象は、7月1日から10月31日までの間にシステムからメールを受け取った人のアドレスだ。利用者登録やメールアドレス・パスワードの変更、ログイン、申請の手続き、市による処理状況の変更、システムからのお知らせに伴って送られたメールの宛先がすべて入る。
送信元のアドレスは info-osaka-online@city.osaka.lg.jp。この期間にこのアドレスからのメールが1通でも届いていれば、対象に入っている可能性が高い。
件数が100万を超えた理由も、市は書いている。9月16日に、その時点で利用者登録をしていた人へお知らせメールを一斉に送ったため、件数が非常に多くなったという。申請を一度もしていなくても、登録だけしていた人はこの一斉送信で対象に入りうる。
11月4日の第2報では、外部サービスの調査で漏えいした可能性があるのはメールアドレスだけで、メールの本文やマイナンバー、申請の情報は含まれないとされていた。システム本体や提供事業者のデータセンターへの不正アクセスは、その時点で確認されていない。
同じ市の商品券事業でも、同じ日に件数が出た
大阪市では、プレミアム付商品券2026事業も同じ日に終報を出した。受注事業者が使っていたメール配信サービスへの不正アクセスで、利用者33,868件分と参加店舗14,669件分のメールアドレスが漏えいしたという。対象は7月1日以降に配信されたメールに関連するアドレスだ。
行政のオンライン申請と商品券の両方を使っていた市民は、二つの経路で同じアドレスが外に出ていることになる。最初の公表から終報まで、オンラインシステムは10日、商品券は7日かかった。
偽のメールは「市からの連絡」の形で来うる
市は、大阪市やシステムを名乗るメールでも、心当たりのないメールの URL や添付ファイルを開かず、ID・パスワード、暗証番号、クレジットカード情報を入力しないよう求めている。金銭の支払いを求めるメールにも応じないこと、気になる知らせはメールのリンクからではなく市のホームページで確かめることも挙げた。
漏れたのが行政の申請システムの宛先である以上、偽物は「申請の処理状況が変わりました」「手数料のお支払いのお願い」「登録情報の再確認」といった、本物と同じ形を取りうる。本物のシステムも同じ種類の通知を送ってくるので、件名だけでは見分けにくい。届いたメールのリンクは使わず、ブックマークしたシステムのページを自分で開いて確かめるのが確実な方法になる。
できることには限りもある。漏れたアドレスは取り戻せない。第2報の時点では、システムでメールアドレスの変更やパスワードの再設定ができない状態が続いていた。アドレスごと変えるなら、ほかのサービスの登録を一つずつ直す手間が残る。
漏えいの知らせを受けたときの順番は、漏えいの知らせが来たらやることにまとめている。
公表された漏えいは漏えいチェックに一覧で載せている。
次に開くのは、大阪市デジタル統括室の報道発表資料のページだ。市は対象者への個別のお知らせを「現在検討中」としていて、送るかどうか、送るならどのアドレスから届くのかが次の発表で分かる。不正アクセスの原因と再発防止策の詳しい報告も、提供事業者に求めるとしている。
ことば
- 大阪市行政オンラインシステム — 大阪市の手続きをネットで申請できる仕組み。提供は TKC で、申請の受付や処理状況の連絡をメールで送っている。
- メール配信サービス — 企業や自治体が、多くの宛先へまとめてメールを送るために外部から借りる仕組み。送る側は宛先のアドレスを預けることになり、今回はそこが不正アクセスを受けた。
7月から10月の受信箱に、info-osaka-online@city.osaka.lg.jp からのメールは残っているだろうか？
