内閣府は11月11日、メール配信を委託しているアララのサービスが第三者の不正アクセスを受け、内閣府が配信するメールマガジンの利用者のメールアドレスが漏えいしたと発表した。漏えいしたアドレスは14種類のメールマガジンと運用管理用のデータを合わせて6万2863件で、重複を除くと6万1751件になる。メールマガジンによっては、登録時に入力した氏名や性別、職業なども漏えいしたおそれがある。配信サービスが止まったため、対象のメールマガジンは配信を停止している。現時点で具体的な被害は確認されていないという。
経済社会総合研究所や食品安全委員会など14種類
発表は内閣府大臣官房サイバーセキュリティ・情報化推進室の名前で出た。内閣府は事業者から漏えいの報告を受けたと説明している。報告を受けた日や配信を止めた日は、発表資料に書かれていない。
対象のメールマガジンは別紙の表に一覧で載った。最も多いのは「内閣府 公益法人メールマガジン」の1万9685件で、全体の約3割にあたる。次いで「内閣府食品安全委員会e－マガジン」が1万922件、「内閣府 経済社会総合研究所 メールサービス」が5645件、「官民人材交流センターからのお知らせ」が5400件と続く。
| メールマガジン | 漏えいしたアドレス | 漏えいのおそれがある登録項目 |
|---|---|---|
| 内閣府 公益法人メールマガジン | 1万9685件 | 属性（利用目的） |
| 内閣府食品安全委員会e－マガジン | 1万922件 | 性別、年齢層、職業 |
| 経済社会総合研究所 メールサービス | 5645件 | 氏名（ニックネーム）、性別、年齢層、職業 |
| 官民人材交流センターからのお知らせ | 5400件 | なし |
| RESAS関連サービス 最新情報メールマガジン | 5115件 | 氏名、性別、属性、所属組織、所属部署、最も関心のある情報 |
| ワーク・ライフ・バランス メールマガジン「カエル！ジャパン」通信 | 4897件 | 名前、性別、年齢層、職業 |
| 原子力委員会メールマガジン | 3331件 | 性別、年齢、都道府県、職業 |
| 内閣府・内閣官房 調達情報メールマガジン | 2433件 | 所在地域、主に興味のある調達分野 |
| チーム有明メールマガジン | 2267件 | なし |
| 消費者委員会メールマガジン | 1938件 | 所属 |
| ESRI E-mail Service（経済社会総合研究所の英語版） | 614件 | 氏名（ニックネーム）、性別、年齢、業種・勤務先 |
| こうえきしんたくん通信 | 258件 | 属性（利用目的）、住んでいる地域、公益信託制度を知ったきっかけ |
| 官民人材交流センターご利用期限のお知らせ | 248件 | なし |
| 【内閣府】PFS官民連携プラットフォーム | 6件 | なし |
| 運用管理用 | 104件 | テストデータ |
| 合計 | 6万2863件 |
出典: 内閣府「内閣府が利用するメール配信サービスにおける個人情報漏えい及びメールマガジンの配信停止について」別紙（2026年11月11日）。「なし」は別紙で該当欄が斜線のもの。英語版の項目名は本紙が訳した
14種類のアドレスを足すと6万2759件で、これに運用管理用のテストデータ104件を加えると合計の6万2863件になる。重複を除いた6万1751件との差は1112件で、その分だけ同じアドレスが複数の区分に重なって登録されていたことになる。
対象は経済分析、公益法人、食品の安全、原子力、調達など分野が広い。調達情報のメールマガジンは名称のとおり内閣官房の分も扱う。官民人材交流センターは、お知らせと利用期限の通知の2本が対象になった。
氏名や職業も漏えいのおそれ、調査を踏まえ本人に通知
内閣府の発表は、漏えいした情報を2段に分けて示した。メールアドレスは「漏えいした」と書き、件数も確定値として示した。これに対し、メールマガジンの登録時に入力した項目は「漏えいしたおそれのある情報」とし、事業者が引き続き調査していると注記した。
おそれのある項目はメールマガジンごとに違う。経済社会総合研究所のメールサービスは氏名（ニックネーム）、性別、年齢層、職業を登録時に尋ねていた。RESAS関連サービスのメールマガジンは氏名と所属組織、所属部署まで入力する形で、記入例に「〇〇市役所」「〇〇課」を挙げていた。自治体の職員が業務で登録していた場合、勤め先と部署がアドレスと結び付いた形で外部に出たおそれがある。
一方で、官民人材交流センターの2本とチーム有明、PFS官民連携プラットフォームのメールマガジンは、おそれのある情報の欄が斜線になっている。登録項目の漏えいのおそれは示されておらず、アドレスの漏えいだけが示されている。
内閣府は今後、事業者の調査結果を踏まえ、個人情報保護法68条2項に基づいて対象の利用者に知らせると説明した。
同法68条は、行政機関などの公的部門に適用される規定だ。1項は、保有個人情報の漏えいなどのうち個人の権利利益を害するおそれが大きいものとして個人情報保護委員会の規則が定める事態が起きたとき、行政機関の長などに委員会への報告を義務づける。2項は、その場合に本人へ事態が起きたことを通知するよう定める。民間の事業者には別の条文（26条）で同じ趣旨の義務がある。
内閣府は、事業者に適切な対応を求めるとともに再発防止に努めるとした。どのメールマガジンをいつ再開するのか、配信の委託先を見直すのかは、発表資料では触れていない。
原因は事業者のサーバの脆弱性、内閣府を装うメールにも注意
原因について内閣府は、事業者のウェブサーバの脆弱性とシステム環境の問題に起因した第三者の不正アクセスと説明した。詳細は事業者が調査を続けているとして、アララのウェブサイトを確認するよう案内している。
具体的な被害は確認されていない。ただ、漏えいしたアドレスが、なりすましメールやフィッシングメールに悪用される可能性は否定できないとして、当面は次のような連絡に注意するよう呼びかけた。内閣府や関係省庁、実在する事業者を装うメール、身に覚えのない連絡に書かれたウェブサイトへのリンク、不審なメールの添付ファイル、パスワードなどの認証情報やクレジットカード情報の入力を求める連絡、至急の対応や金銭の支払いを求める連絡の5つだ。
不審な連絡を受けたら、リンクや添付ファイルを開かず、送信元として表示された組織の公式サイトで連絡先を確かめてから、その組織に直接問い合わせるよう求めた。内閣府が今回の件で、メールなどでパスワードやクレジットカード情報の入力や提供を頼むことはないとも明記した。問い合わせ先は大臣官房サイバーセキュリティ・情報化推進室で、メールで受け付ける。
アララの流出は8132万件、サービス再開は未定
アララのメール配信サービス「アララメッセージ」への不正アクセスは、10月28日から31日にかけて起きた。アララの11月6日の発表によると、外部に持ち出されたメールアドレスは重複を除いて8132万9467件に上る。件数はアドレスの数で、人数ではない。対象となる契約企業は最大で約380社と推計し、精査を続けている。持ち出された情報には、契約企業によっては氏名、性別、生年月日、電話番号、住所などの会員情報も含まれる。
10月28日から30日にかけては、アララの送信元アドレスからクレジットカード会社を装った不審メールが最大約713万通送られた。アララは10月31日にサービスを全面的に止めた。再開は、侵入経路への対策の完了、外部の専門機関による安全性の確認、契約企業の認証情報の再設定を経て判断するとしており、時期は決まっていない。内閣府のメールマガジンの配信停止も、このサービス停止によるものだ。
アララは警察に通報し、個人情報保護委員会や総務省関東総合通信局などに報告している。流出の全体像と委託元の発表の経過は「アララのメール流出8132万件に拡大 うち4704万件は氏名など会員情報も」で、官庁と自治体への影響は「マイナンバーカード予約の通知メール、11月10日に再開予定 アララ流出、総務省775件・TKC最大223万件」で報じた。