総務省は11月4日、英文ニューズレター「ICT × Japan - Policy Information -」のメール配信を請け負うアララ（東京）から、登録者のメールアドレス775件と、登録時に氏名を記入した人の氏名21件が流出したとの報告を受けたと発表した。アララのメール配信サービスへの不正アクセスは、企業の会員情報に続いて国の省の配信先にも及んだ形だ。同じサービスを委託先のTKC（宇都宮市）を通じて使う自治体では、電子申請やマイナンバーカードの予約の通知メールが止まったままになっている。
総務省が公表した内容
発表によると、流出したのは国際戦略局国際戦略課が契約する配信の登録者の情報である。クレジットカード番号や電話番号は登録が不要なため、流出した情報には含まれない。原因については、アララのウェブサーバーの脆弱性を第三者に悪用されたことなどと説明した。アララは外部からのアクセスとサービスの提供を止めており、総務省は同社に適切な対応を求めるとともに、対象者へ個別にメールで連絡する。
ニューズレターは、情報通信分野の施策や研究会の報告、統計、国際会議の結果などを英語で伝える刊行物で、メールで配信するとともに総務省の英語サイトにも掲載している。2026年は第37巻にあたり、4月14日の第1号から10月23日の第14号まで出した。第14号は9月16〜30日の報道資料の一覧で、通信サービスの契約数の四半期データなどを紹介している。誌面の末尾に配信の登録と解除の案内がある。
発表に書かれていないこともある。総務省がアララから報告を受けた日、登録者の国や所属、アララが示した被害の区分のどれにあたるか、個人情報保護委員会への報告の有無、配信の再開の方法は示されていない。流出が「可能性」ではなく「流出した」と書かれている点は、影響を調査中とする横浜市や大阪市の発表と異なる。
アララの被害の全体像
メール配信サービスは、組織がメールマガジンや手続きの通知を大量に送るために、宛先の名簿を外部の事業者へ預ける仕組みである。この問題の経緯は「アララのメール配信に不正アクセス、流出は約7700万件に拡大 アソビューは1582万件」で報じた。
アララが11月2日に公表した第2報によると、被害は3つの区分に分かれる。最も大きいのは、サーバーを足場に多数のサーバーへ侵入された経路で、対象はサーバー97台、契約企業は最大約380社と推計し、持ち出されたメールアドレスは約7700万件（精査中）に上る。第1報で公表した共用環境では338万6187件が持ち出され、契約企業は61社だった。これとは別に、配信の仕組みを悪用してクレジットカード会社を装うメールが最大約713万通送られた。区分の間で同じアドレスが重なる可能性があるため、同社は件数を合算していない。
アララは10月31日にサービスの提供をすべて止めており、再開の時期は未定である。第2報は件数の精査の結果と業績への影響を第3報で示すとしているが、4日夜の時点で同社のサイトに第3報は掲載されていない。第2報は対象の契約先の名を挙げていないため、総務省のように利用者の側が公表して初めて範囲が分かる状態が続いている。
自治体の通知は委託の先の委託で止まった
総務省がアララと直接契約していたのに対し、自治体の多くは間に別の事業者が入る。自治体がTKCのシステムを使い、TKCがメール配信をアララへ委託する二段の形である。
| 組織 | 止まった・流出したメール | 配信の形 | 公表の内容 |
|---|---|---|---|
| 総務省 | 英文ニューズレター | アララと直接契約 | アドレス775件、氏名21件が流出 |
| 横浜市 | 電子申請・届出システム（登録約82万件） | TKC経由 | 市の利用者への影響の有無は確認中（3日時点） |
| 大阪市 | 行政オンラインシステム | TKC経由 | 流出の有無を調査中 |
| 長久手市 | カード交付予約の完了メール | TKC経由 | メールアドレスの流出として最大223万812件を案内 |
| 豊橋市 | カード受取予約の完了メール | TKC経由 | 登録アドレスに漏えいの恐れ |
| 柏崎市 | 市のメール配信（登録5364件） | 委託事業者経由 | アドレスの流出の報告あり、件数は確認中 |
出典: 総務省、横浜市、大阪市、長久手市、豊橋市、柏崎市の発表
TKCは4日の第3報で、同社のシステムの利用者のメールアドレスが最大223万812件漏えいしたとの報告を受けていると説明した。アララの調査の結果、漏えいしたのはメールアドレスのみで、メール本文、マイナンバー、市町村への申請情報は漏えいしていないことを確認したという。同日の第4報では、アララから漏えいしたアドレスの情報の提供を受け、どの顧客のどのシステムのものかを分類する作業に入ったと明らかにした。自治体ごとの件数はこの作業の結果を待つことになる。
利用者の手続きにも支障が出ている。横浜市の電子申請・届出システムは約2500件の手続きに使えるが、メール送信サービスは10月31日午後5時40分ごろから止まり、利用者登録、メールアドレスの変更、パスワードの再設定ができない。大阪市も同じ3つの操作が行えず、復旧の見込みは未定としている。マイナンバーカードの交付予約は受け付けているものの、予約完了のメールが届かない。埼玉県三芳町は、予約を終えたら自分で控えを取るよう求めている。TKCは別のメール基盤から送信できるよう対処中で、各システムの復旧時期は決まり次第知らせるとしている。
読者が注意すべき点は各発表で共通している。アララは、同社や契約先をかたるメール、SMS、電話、郵便物に心当たりがなければ、URLを開かず、IDやパスワード、クレジットカード情報を入力しないよう求めている。10月28日から30日に送信元「news@arara.com」から届いた「利用内容確認のご依頼」などの件名のメールは、本文のURLを開かずに削除するよう呼びかけている。
委託先にも及ぶ法律の義務
国の機関や自治体が個人情報の扱いを外部へ任せる場合の決まりは、個人情報保護法に定めがある。第66条は行政機関の長などに、漏えいを防ぐ安全管理の措置を義務づけ、同じ規定を委託を受けた者にも準用している。「二以上の段階にわたる委託」を受けた者も対象に含むため、TKCの先のアララのように委託が重なっても、条文の上では義務が途切れない。
漏えいが起きたときの手続きは第68条が定める。個人の権利利益を害するおそれが大きい事態では、行政機関の長などが個人情報保護委員会へ報告し、本人へ通知しなければならない。対象の事態を示す同法施行規則第43条は、本人の数が100人を超える漏えいや、不正の目的で行われたおそれがある行政機関等に対する行為による漏えいなどを挙げている。
総務省の発表は775件というアドレスの数を示したが、本人の数としては示していない。委託先への不正アクセスの扱いと合わせ、この手続きをどう適用したかは発表からは読み取れない。アララ自身は第2報で、10月29日に個人情報保護委員会へ速報を提出し、同じ日に警察へ通報したと説明している。
775件でも、発注者の説明の職務は残る
775件という数は、アララの全体の約7700万件に比べれば小さい。ただ、件数の小ささを理由に説明を省いてよい問題ではない。総務省は情報通信政策を所管する省であり、登録者が受け取っていたのは、その省の国際向けの公式刊行物である。
比べる基準は、同じ問題で各自治体が公表した経緯である。横浜市は委託事業者から連絡を受けた日時、サービスを止めた時刻、対象と判明した時刻を時系列で示した。総務省の発表には、報告を受けた日も、個人情報保護委員会への報告の有無も無い。委託の相手が流出を起こしたのであり、不正アクセスの責任の第一は攻撃者とアララの側にある。しかし第66条は行政機関の長に安全管理の措置を求めており、委託先の扱いを説明する職務は発注者である総務省に残る。
配信先を預けた登録者の立場に立てば、知りたいことは3つあるだろう。報告を受けた日と委員会への報告の状況、契約時にアララの安全管理をどう確かめたか、配信を今後どの事業者でどう続けるかである。総務省はこれらを公表すべきではないか。