内閣府メルマガ14種で6万2,863件漏えい アララ不正アクセス

内閣府は2026年11月11日、同府が使っているメール配信サービスが不正アクセスを受け、メールマガジンの利用者の個人情報が漏えいしたと公表しました。漏えいしたメールアドレスは合計6万2,863件で、重複を除くと6万1,751件です。調達情報や公益法人向けのメールマガジンも対象に入っているため、仕事用のアドレスで登録していた会社は、内閣府や省庁を装うメールに気をつけてください。

何が起きたのか

不正アクセスを受けたのは、アララが提供するメール配信サービスです。内閣府はこのサービスでメールマガジンを配信していて、アララから利用者の個人情報が漏えいしたとの報告を受けました。サービスが止まっているため、対象のメールマガジンの配信も止めています。

内閣府は原因を、アララのWebサーバーの脆弱性と、システム環境の問題に起因する不正アクセスだと説明していて、アララによる調査は続いています。アララ側の経緯と全体の件数はメール配信「アララメッセージ」に不正アクセス、約8,100万件が流出にまとめています。

内閣府がアララから報告を受けた日は、お知らせに書かれていません。

対象のメールマガジンと件数

内閣府の別紙には、14種のメールマガジンと運用管理用のデータが載っています。漏えいしたメールアドレスの件数は次のとおりです。

メールマガジン	件数
内閣府 公益法人メールマガジン	19,685
内閣府食品安全委員会e-マガジン	10,922
内閣府 経済社会総合研究所 メールサービス	5,645
官民人材交流センターからのお知らせ	5,400
RESAS関連サービス 最新情報メールマガジン	5,115
ワーク・ライフ・バランス メールマガジン「カエル！ジャパン」通信	4,897
原子力委員会メールマガジン	3,331
内閣府・内閣官房 調達情報メールマガジン	2,433
チーム有明メールマガジン	2,267
消費者委員会メールマガジン	1,938
ESRI E-mail Service	614
こうえきしんたくん通信	258
官民人材交流センターご利用期限のお知らせ	248
【内閣府】PFS官民連携プラットフォーム	6
運用管理用（テストデータ）	104

合計は6万2,863件で、重複を除くと6万1,751件になります。どちらもメールアドレスの数で、人数ではありません。

メールアドレスのほかに漏えいしたおそれのある情報

メールマガジンによっては、登録のときに入力した項目も漏えいしたおそれがあります。別紙に挙がっている主なものは次のとおりです。どこまで漏えいしたかは、アララが調査を続けています。

• 経済社会総合研究所のメールサービス：氏名（ニックネーム）、性別、年齢層、職業
• 公益法人メールマガジン：属性（利用目的）
• 消費者委員会メールマガジン：所属
• 食品安全委員会e-マガジン：性別、年齢層、職業
• 調達情報メールマガジン：会社の所在する地域、主に興味のある調達分野
• ワーク・ライフ・バランスのメールマガジン：名前、性別、年齢層、職業
• RESAS関連サービスのメールマガジン：氏名、性別、属性、所属組織、所属部署、最も関心のある情報
• 原子力委員会メールマガジン：性別、年齢、都道府県、職業

内閣府の対応と利用者がすること

内閣府はアララの調査結果を踏まえて、個人情報保護法の規定に基づき、対象の利用者に知らせるとしています。アララには適切な対応を求め、再発防止に努めるとしています。問い合わせの窓口はメールです。

11月11日の時点で、この件による具体的な被害は確認されていません。ただし内閣府は、漏えいしたメールアドレスなどが、なりすましメールやフィッシングメールに悪用される可能性を否定できないとして、当面は次のような連絡に注意するよう呼びかけています。

• 内閣府、関係省庁、実在する事業者などを装ったメール
• 身に覚えのない連絡に書かれたウェブサイトへのリンク
• 不審なメールに添付されたファイル
• パスワードなどの認証情報や、クレジットカード情報の入力を求める連絡
• 至急の対応や金銭の支払いを求める不審な連絡

不審な連絡を受けたときは、リンクや添付ファイルを開かず、送信元として表示された組織の公式サイトなどで連絡先を調べて、その組織に直接問い合わせるよう案内しています。内閣府がこの件の連絡で、メールなどによりパスワードやクレジットカード情報の入力や提供を求めることはないとしています。

中小企業が学べること

調達情報のメールマガジンには、入札に関心のある会社が仕事用のアドレスで登録していることが考えられます。漏えいしたおそれのある項目には、会社の所在する地域や興味のある調達分野も入っています。入札の案内や登録情報の確認を理由に省庁を名乗るメールが届いても、本文のリンクからは手続きをせず、いつも使っている調達の公式サイトを自分で開いて確かめます。

メールマガジンを配信している会社は、登録フォームで集める項目を見直せます。今回は、メールアドレスだけを預けていたメールマガジンと、氏名や所属まで預けていたメールマガジンとで、漏えいしたおそれのある範囲が分かれました。配信に使わない項目は集めず、集めたものも使い終えたら消すようにしておくと、配信サービスで事故が起きたときの影響を小さくできます。

配信サービスの事故のあとは、自社の名前をかたるメールが出回ることもあります。送信ドメインの認証を整える手順は自社の名前で偽メールを送らせない DMARCの始め方で説明しています。