横浜市の電子申請のメール送信サービスに不正アクセス、影響を確認中

何が起きたのか

横浜市は2026年11月3日、電子申請・届出システムが使うメール送信サービスに、第三者の不正アクセスが検知されたと公表しました。システムの委託事業者はTKC、メール送信サービスの提供事業者はアララです。

電子申請・届出システムは、市民や事業者が市役所や区役所に行かずに、インターネットで24時間365日、申請や届出ができるサービスです。利用できる手続きは約2,500件あり、利用者の登録数は約82万件（個人と事業者のアカウント数）です。

経過は次のとおりです。

• 10月31日（土）午後5時31分ごろ：委託事業者から、セキュリティ上の予防措置として緊急メンテナンスを行うため、メール送信サービスを止めるという連絡。午後5時40分ごろに停止
• 11月1日（日）午後0時41分ごろ：メール送信サービスの提供事業者が確認したところ、第三者による不正アクセスが検知されたという報告
• 11月2日（月）午前9時ごろ：提供事業者が、不正アクセスによる情報流出とサービス停止をホームページに掲載
• 11月2日（月）午後6時ごろ：提供事業者への不正アクセスによる情報漏えいの可能性について委託事業者から報告があり、横浜市のシステムも対象だと判明

市の環境への影響と、個人情報が漏れたかどうかは、委託事業者を通じて提供事業者に確認しています。

漏れた情報

漏えいした可能性があるのは、利用者のメールアドレス、利用者名などです。対象の件数と、市の利用者情報への影響の有無は、委託事業者と提供事業者が確認中です。

約82万件は登録されたアカウントの数で、漏えいの件数ではありません。

TKCは11月4日の第4報で、アララから、漏えいしたメールアドレスの情報の提供を受けたと説明しています。ただし、どの顧客のどのシステムに関するものかは、アララと協力して分類している最中で、影響の範囲はまだ確定していません。アララの事故そのものの規模は、メール配信「アララメッセージ」に不正アクセス、約8,100万件が流出で扱っています。

市の対応

市は被害の拡大を防ぐためにメール送信サービスを止めており、次のことができない状態です。

• 利用者の登録、メールアドレスの変更、パスワードの再設定
• ログイン。ログイン時にメールで確認コードを送る二要素認証が使えないためです
• 利用者への確認メールの受け取り

ログインが要らない手続きには影響がありません。再開の時期は、市の発表では示されていません。TKCは、各システムのメール送信を別のメール基盤から行えるよう順次開発しているとしていますが、復旧の時期は未定です。

登録者には、不審なメールやSMSに注意するよう呼びかけています。身に覚えのないメールは、書かれたURLを開かず、添付ファイルも開かず、個人情報を入力したり返信したりしないよう求めています。問い合わせ先は、総務局DX基盤課（電話）です。

中小企業が学べること

メールの配信サービスが止まると、ログインの確認コードも届かなくなります。この件では、メール送信を止めたことで、登録、パスワードの再設定、ログインのすべてができなくなりました。自社のシステムでも、次の点を確かめられます。

• ログインの確認コードや、パスワード再設定のリンクを、メールだけで送っていないか。SMSや認証アプリなど、メールが止まったときの代わりの手段があるか
• 自社の業務システムが、どの外部サービス（メール配信、SMS配信、決済など）に頼っているかの一覧を、提供事業者から受け取っているか
• 外部のメール送信が止まったとき、別の基盤で通知を送り直せる手順を、提供事業者と決めているか

TKCは、別のメール基盤から送れるようにする対応を、事故のあとに進めています。あらかじめ代わりの経路を決めておけば、止まったときの対応は短くできます。