# 内閣府メルマガ14種で6万2,863件漏えい アララ不正アクセス

- 分類: 漏洩情報
- 公開日: 2026年11月11日
- 発行: サイバーセキュリティ情報センター 編集部（株式会社Rabbitly）
- URL: https://security-info.org/articles/2026-11-11-cao-mailmagazine-arara-leak/
- タグ: 不正アクセス、委託先、メール配信、なりすましメール

> 内閣府は11月11日、メール配信サービス「アララメッセージ」への不正アクセスで、同府のメールマガジン14種の登録メールアドレス6万2,863件が漏えいしたと公表しました。登録者は内閣府や省庁を装うメールに注意が要ります。

## この事故の概要

| 項目 | 内容 |
| --- | --- |
| 組織 | 内閣府（自治体・公共） |
| 公表日 | 2026年11月11日 |
| 流出の恐れがある件数 | 6万2,863件（メールアドレスの数。重複を除くと6万1,751件） |
| 原因 | 利用していたメール配信サービス（アララ）への不正アクセス |
| 漏れた情報 | メールアドレス。メールマガジンによっては登録時に入力した氏名、性別、年齢層、職業、所属などが漏えいしたおそれ |
| 発覚 | 公表なし |

内閣府は2026年11月11日、同府が使っているメール配信サービスが不正アクセスを受け、メールマガジンの利用者の個人情報が漏えいしたと公表しました。漏えいしたメールアドレスは合計6万2,863件で、重複を除くと6万1,751件です。調達情報や公益法人向けのメールマガジンも対象に入っているため、仕事用のアドレスで登録していた会社は、内閣府や省庁を装うメールに気をつけてください。

## 何が起きたのか

不正アクセスを受けたのは、アララが提供するメール配信サービスです。内閣府はこのサービスでメールマガジンを配信していて、アララから利用者の個人情報が漏えいしたとの報告を受けました。サービスが止まっているため、対象のメールマガジンの配信も止めています。

内閣府は原因を、アララのWebサーバーの脆弱性と、システム環境の問題に起因する不正アクセスだと説明していて、アララによる調査は続いています。アララ側の経緯と全体の件数は[メール配信「アララメッセージ」に不正アクセス、約8,100万件が流出](/articles/2026-11-06-arara-message-mail-leak/)にまとめています。

内閣府がアララから報告を受けた日は、お知らせに書かれていません。

## 対象のメールマガジンと件数

内閣府の別紙には、14種のメールマガジンと運用管理用のデータが載っています。漏えいしたメールアドレスの件数は次のとおりです。

| メールマガジン | 件数 |
|---|---|
| 内閣府 公益法人メールマガジン | 19,685 |
| 内閣府食品安全委員会e-マガジン | 10,922 |
| 内閣府 経済社会総合研究所 メールサービス | 5,645 |
| 官民人材交流センターからのお知らせ | 5,400 |
| RESAS関連サービス 最新情報メールマガジン | 5,115 |
| ワーク・ライフ・バランス メールマガジン「`カエル！ジャパン`」通信 | 4,897 |
| 原子力委員会メールマガジン | 3,331 |
| 内閣府・内閣官房 調達情報メールマガジン | 2,433 |
| チーム有明メールマガジン | 2,267 |
| 消費者委員会メールマガジン | 1,938 |
| ESRI E-mail Service | 614 |
| こうえきしんたくん通信 | 258 |
| 官民人材交流センターご利用期限のお知らせ | 248 |
| 【内閣府】PFS官民連携プラットフォーム | 6 |
| 運用管理用（テストデータ） | 104 |

合計は6万2,863件で、重複を除くと6万1,751件になります。どちらもメールアドレスの数で、人数ではありません。

## メールアドレスのほかに漏えいしたおそれのある情報

メールマガジンによっては、登録のときに入力した項目も漏えいしたおそれがあります。別紙に挙がっている主なものは次のとおりです。どこまで漏えいしたかは、アララが調査を続けています。

- 経済社会総合研究所のメールサービス：氏名（ニックネーム）、性別、年齢層、職業
- 公益法人メールマガジン：属性（利用目的）
- 消費者委員会メールマガジン：所属
- 食品安全委員会e-マガジン：性別、年齢層、職業
- 調達情報メールマガジン：会社の所在する地域、主に興味のある調達分野
- ワーク・ライフ・バランスのメールマガジン：名前、性別、年齢層、職業
- RESAS関連サービスのメールマガジン：氏名、性別、属性、所属組織、所属部署、最も関心のある情報
- 原子力委員会メールマガジン：性別、年齢、都道府県、職業

## 内閣府の対応と利用者がすること

内閣府はアララの調査結果を踏まえて、個人情報保護法の規定に基づき、対象の利用者に知らせるとしています。アララには適切な対応を求め、再発防止に努めるとしています。問い合わせの窓口はメールです。

11月11日の時点で、この件による具体的な被害は確認されていません。ただし内閣府は、漏えいしたメールアドレスなどが、なりすましメールやフィッシングメールに悪用される可能性を否定できないとして、当面は次のような連絡に注意するよう呼びかけています。

- 内閣府、関係省庁、実在する事業者などを装ったメール
- 身に覚えのない連絡に書かれたウェブサイトへのリンク
- 不審なメールに添付されたファイル
- パスワードなどの認証情報や、クレジットカード情報の入力を求める連絡
- 至急の対応や金銭の支払いを求める不審な連絡

不審な連絡を受けたときは、リンクや添付ファイルを開かず、送信元として表示された組織の公式サイトなどで連絡先を調べて、その組織に直接問い合わせるよう案内しています。内閣府がこの件の連絡で、メールなどによりパスワードやクレジットカード情報の入力や提供を求めることはないとしています。

## 中小企業が学べること

調達情報のメールマガジンには、入札に関心のある会社が仕事用のアドレスで登録していることが考えられます。漏えいしたおそれのある項目には、会社の所在する地域や興味のある調達分野も入っています。入札の案内や登録情報の確認を理由に省庁を名乗るメールが届いても、本文のリンクからは手続きをせず、いつも使っている調達の公式サイトを自分で開いて確かめます。

メールマガジンを配信している会社は、登録フォームで集める項目を見直せます。今回は、メールアドレスだけを預けていたメールマガジンと、氏名や所属まで預けていたメールマガジンとで、漏えいしたおそれのある範囲が分かれました。配信に使わない項目は集めず、集めたものも使い終えたら消すようにしておくと、配信サービスで事故が起きたときの影響を小さくできます。

配信サービスの事故のあとは、自社の名前をかたるメールが出回ることもあります。送信ドメインの認証を整える手順は[自社の名前で偽メールを送らせない DMARCの始め方](/articles/2026-11-04-dmarc-first-steps/)で説明しています。

## 自社で確かめること

1. **登録していたメールマガジン**：内閣府の別紙にある14種のメールマガジンに、会社のアドレスで登録していた社員がいないかを聞きます。調達情報や公益法人向けのものも入っています。
2. **省庁を装うメール**：内閣府や省庁の名前で届いたメールは、本文のリンクや添付ファイルを開かず、その組織の公式サイトで連絡先を調べて問い合わせるよう社内に伝えます。
3. **登録フォームの入力項目**：自社のメールマガジンの登録フォームで、配信に使わない所属や年齢層などを集めていないかを見直します。

## 出典

- [内閣府 大臣官房サイバーセキュリティ・情報化推進室「内閣府が利用するメール配信サービスにおける個人情報漏えい及びメールマガジンの配信停止について」（令和8年11月11日）](https://www.cao.go.jp/others/csi/security/20261111notice.pdf)
- [アララ株式会社「当社が提供する「アララメッセージ」への不正アクセスによる情報流出およびサービス停止について（第３報）」（2026年11月6日）](https://www.arara.com/dcms_media/other/arara_20261106_.pdf)