日本脆弱性総合ポータル

大阪市：大阪市行政オンラインシステムの利用者メールアドレスが外部に漏えい

重要度
1,078,713件
公表日
2026.11.13
原因の分類
サプライチェーン、侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. 大阪市の行政オンラインシステムの提供事業者が使うメール配信サービスが不正アクセスを受けた。
  2. 利用者のメールアドレス1,078,713件が漏えいしたが、侵入口は公表されていない。
  3. 心当たりのないメールのURLは開かず、ID・パスワードを入力しないよう求めている。

大阪市行政オンラインシステムの提供事業者である株式会社TKCが利用するメール配信サービスへの不正アクセスにより、利用者のメールアドレス1,078,713件が外部に漏えいした。対象は令和8年7月1日から10月31日までの間に同システムの送信元アドレスからメールを受信した人である。侵入口と不正アクセスの原因は未公表である。

確認された経路・公表元の推定

  1. 令和8年7月1日から10月31日までの間に、本システムからメールを受信した利用者のメールアドレスが対象となった。
  2. メール配信サービスへの不正アクセスがあり、外部サービスの提供事業者からシステム提供事業者へ情報が提供された。
  3. システム提供事業者が情報を分類・照合して対象を特定し、利用者のメールアドレス1,078,713件が漏えいしたと大阪市が確認した。

根拠の要点

大阪市の公表資料は、提供事業者が利用するメール配信サービスへの不正アクセスによりメールアドレスが漏えいしたことを、確認済みとして記載している。侵入口、原因、不正アクセスの時期は記載がない。

資料の基準時点：2026年11月13日公表時点（取得日 2026-11-14）

当時、対策できたのか

判定保留

資料は、不正アクセスの原因、影響範囲及び再発防止策の詳細を提供事業者に報告させる方針を示しており、現時点で原因は公表されていない。攻撃時点の防御条件や既知脆弱性の有無も書かれていないため、判定保留とした。

公表された対策

  • 提供事業者に対し、不正アクセスの原因、影響範囲及び再発防止策の詳細な報告を求める。
  • 外部サービスにおける個人情報の取扱い、安全管理措置、事業者との連携体制等を改めて検証し、必要な再発防止策を講じる。
  • 心当たりのないメールのURLや添付ファイルを開かず、ID・パスワード等の入力や金銭の支払いには応じない。
  • 不審なメールは、メール内のリンクからではなく大阪市ホームページ等で情報を確認する。

この事例を理解するための動画

まだ分からないこと

  • 不正アクセスの原因、侵入の時期、侵入口は資料に記載がない。
  • 影響範囲の詳細と再発防止策は、提供事業者への報告を求めている段階であり、未公表である。
  • 対象となるメールアドレスの個別の該当可否には回答していない。
  • 対象者への通知方法は現在検討中である。
  • 不審メールによる二次被害の有無は資料に記載がない。

関連する事例

同じ原因分類の事例

事例の一覧に戻る