---
title: "内閣府のメルマガ62,863件が漏えい、アララ経由の波は官庁の中枢まで。最多は公益法人向けの19,685件だった"
description: "内閣府は2026年11月11日、アララのメール配信サービスへの不正アクセスで、同府のメールマガジン利用者のメールアドレス合計62,863件（重複を除くと61,751件）が漏えいしたと発表した。対象は公益法人、食品安全委員会、RESASなど14種のメールマガジンと運用管理用。登録時の氏名や属性などは「漏えいしたおそれ」として調査中"
url: https://itpostjp.com/security/cabinet-office-mail-magazine-arara-leak-62863/
category: "セキュリティ"
published_at: 2026-11-11T21:51:00Z
updated_at: 2026-11-11T21:51:00Z
author: "IT Post編集部"
editor: "編集長 千田智也"
publisher: "IT Post by Rice Studio Lab"
language: ja-JP
ai_generated: true
ai_model: muse-wonder
terms: ["セキュリティインシデント", "フィッシング", "第三者提供"]
---

# 内閣府のメルマガ62,863件が漏えい、アララ経由の波は官庁の中枢まで。最多は公益法人向けの19,685件だった

IT Post編集部 ＆ 編集長 千田智也

内閣府は2026年11月11日、アララのメール配信サービスへの不正アクセスで、同府のメールマガジン利用者のメールアドレス合計62,863件（重複を除くと61,751件）が漏えいしたと発表した。対象は公益法人、食品安全委員会、RESASなど14種のメールマガジンと運用管理用。登録時の氏名や属性などは「漏えいしたおそれ」として調査中

## 30秒で分かる結論

- 内閣府は2026年11月11日、アララ株式会社が提供するメール配信サービスへの不正アクセスにより、同府が配信するメールマガジンの利用者の個人情報が漏えいしたとの報告を受けたと発表しました。漏えいしたメールアドレスは合計62,863件で、重複を除いた件数は61,751件です。
- 対象は、内閣府 公益法人メールマガジンの19,685件を筆頭に、食品安全委員会のe-マガジン、RESAS関連サービス、調達情報など14種類のメールマガジンと、運用管理用の104件です。メールアドレスそのものは「漏えいした」とされ、登録時に任意で入力した氏名や性別、所属などは「漏えいしたおそれのある情報」として、事業者が調査中です。
- 原因は、事業者のWebサーバの脆弱性とシステム環境における問題に起因した第三者の不正アクセスとされています。同サービスの停止に伴い、内閣府のメールマガジン配信も停止しています。現時点で、本件に伴う具体的な被害は確認されていません。

## まず初めに

アララのメール配信サービスをめぐる漏えいは、利用企業・団体の公表が何十件と積み上がってきた。その列の先に、ついに内閣府が並んだ。霞が関の中枢が、民間のメール配信の委託先経由で名簿を出す。派手な侵入の話ではない。国の情報発信の足回りが、民間の1社のサーバーの健康状態にぶら下がっていた、という構造の話である。件数62,863という数字より、このぶら下がり方が今回の主題だと思う。

※個人の感想です

## 何が起きたのか

内閣府大臣官房サイバーセキュリティ・情報化推進室は、令和8年（2026年）11月11日付で「内閣府が利用するメール配信サービスにおける個人情報漏えい及びメールマガジンの配信停止について」を公表しました。それによると、アララ株式会社が提供するメール配信サービスに対し、第三者による不正アクセスがあり、内閣府が配信するメールマガジンの利用者の個人情報が漏えいしたとの報告を事業者から受けた、ということです。同サービスの停止により、当該メールマガジンの配信は停止しています。

この事案の親元であるアララ側の経緯は、本誌でも追ってきました。[アララのメール配信サービスへの不正アクセス](https://itpostjp.com/security/arara-message-email-address-leak-3-million/)では、外部へ持ち出されたメールアドレスが重複を除いて8,100万件超に上ることなどが、事業者側の続報で明らかになっています。利用する企業や自治体、団体が自社の利用者への影響を公表する形が続いており、内閣府の公表もその一つです。ただし、公表の主体が中央省庁である点で、重みは一段違います。

![内閣府の発表内容（2026年11月11日）を整理した図解カード](/images/articles/cabinet-office-mail-magazine-arara-leak-62863-inline-1.webp)

## 漏えいした件数と内訳

内閣府の発表では、漏えいしたメールアドレスの件数は合計62,863件、重複を除いた件数は61,751件とされています。別紙に示されたメールマガジンごとの件数は、次のとおりです。

| メールマガジン | 件数 | 登録時の追加情報の例 |
|---|---|---|
| 内閣府 公益法人メールマガジン | 19,685件 | 利用目的 |
| 内閣府食品安全委員会e-マガジン | 10,922件 | 性別、年齢層、職業 |
| 内閣府 経済社会総合研究所メールサービス | 5,645件 | 氏名（ニックネーム）、性別、年齢層、職業 |
| 官民人材交流センターからのお知らせ | 5,400件 | 追加項目なし |
| RESAS関連サービス | 5,115件 | 氏名、性別、属性、所属組織、所属部署、関心のある情報 |
| ワーク・ライフ・バランス「カエル！ジャパン」通信 | 4,897件 | 性別、年齢層、職業 |
| 原子力委員会 | 3,331件 | 追加項目なし |
| 内閣府・内閣官房 調達情報 | 2,433件 | 氏名、性別、年齢層、職業 |
| チーム有明 | 2,267件 | 追加項目なし |
| 消費者委員会 | 1,938件 | 追加項目なし |
| ESRI E-mail Service（英語版） | 614件 | 氏名（ニックネーム）、性別、年齢層、職業 |
| こうえきしんたくん通信 | 258件 | 属性、性別、年齢層、職業 |
| 官民人材交流センターご利用期限のお知らせ | 248件 | 追加項目なし |
| PFS官民連携プラットフォーム | 6件 | 属性、所属組織、所属部署 |
| 運用管理用 | 104件 | テストデータ |

書き分けに注意が必要です。内閣府は、メールアドレスについては「漏えいした」としています。一方、登録時に任意で入力した氏名や性別、所属組織など、別紙で「漏えいしたおそれのある情報」とされた項目については、事業者が引き続き調査を行っている段階です。確定した範囲と調査中の範囲を混ぜて読まないことが、この公表の読み方です。

顔ぶれを見ると、単なる広報メルマガの名簿ではないことが分かります。公益法人の担当者、食品安全の関係者、RESASを使う自治体や企業の担当者、調達情報を受け取る事業者。いずれも「内閣府からの連絡を開く習慣のある人たち」であり、なりすましの材料としては質の高い名簿です。

## 原因と、利用者への注意

原因について内閣府は、事業者のWebサーバの脆弱性及びシステム環境における問題に起因した第三者の不正アクセスによるものとし、事業者により調査が継続中だとしています。

内閣府は今後、調査結果を踏まえ、個人情報の保護に関する法律第68条第2項の規定に基づき、対象となる利用者へ知らせる、としています。事業者には適切な対応を求め、再発防止に努める、という立場です。

利用者への注意として、内閣府は次の点を挙げています。現時点で本件に伴う具体的な被害は確認されていないものの、漏えいした可能性があるメールアドレスなどが、なりすましメールやフィッシングメールに悪用される可能性を否定できない。不審な連絡を受けた場合は、リンクや添付ファイルを開かず、送信元として表示された組織の公式ウェブサイトなどで連絡先を確認したうえで、その組織に直接問い合わせること。また、内閣府が本件に関する連絡で、パスワード等の認証情報やクレジットカード情報の入力・提供を求めることはない、と明記しています。

## IT Postの見方

IT Postでは、この公表で一番重いのは62,863件という件数ではなく、対象者の顔ぶれだと考えます。調達情報の登録者は、内閣府を装ったメールを開き、リンクを踏む可能性が一般のメルマガ読者より高い。仕事の連絡として届くからだ。漏れたのがメールアドレスだけでも、相手が「誰に何を装えば開かれるか」を知っている名簿は、ただのアドレスの山とは危険度が違う。件数の大小で事案を測る癖は、そろそろ改めた方がいい。

もう一つは、行政の委託の形そのものだ。メールマガジンは各省庁が民間の配信サービスに委託するのが普通で、今回もその普通の形の上で起きた。委託先の脆弱性が、そのまま霞が関の公表文になる時代である。委託先を選ぶときの審査と、事故が起きたときに自組織の登録者へどう知らせるかという段取りは、もはや広報部門の片手間仕事ではない。今回、内閣府が件数の重複を除いた実数まで併記し、確定分と調査中を分けて書いた点は、読み手への配慮として素直に評価できる。

利用企業・団体の公表はまだ続く可能性があります。アララ側の調査の進展次第で、行政機関の公表がもう一件、二件と出てきても不思議ではありません。

## 今後どうなりそうか

当面の焦点は、事業者側の調査で「漏えいしたおそれのある情報」の範囲が確定するかどうかと、内閣府から対象利用者への個別のお知らせがいつ、どの形で出るかです。配信停止中のメールマガジンの再開時期についても、現時点で発表はありません。

対象となるメールマガジンに登録していた人ができることは、内閣府や関係省庁、実在の事業者を装ったメールへの警戒を一段上げることです。特に調達や公募を装い、期限の切迫をあおって認証情報や金銭を求める連絡は、本件と無関係なものも含めて開かないのが原則です。公式の続報は内閣府のウェブサイトで確認できます。

## 情報源

「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。

- [内閣府が利用するメール配信サービスにおける個人情報漏えい及びメールマガジンの配信停止について](https://www.cao.go.jp/others/csi/security/20261111notice.html) — 内閣府（一次情報）
- [内閣府が利用するメール配信サービスにおける個人情報漏えい及びメールマガジンの配信停止について（本文・別紙）](https://www.cao.go.jp/others/csi/security/20261111notice.pdf) — 内閣府（一次情報）
- [内閣府、メルマガ利用者のメアド6万件超漏えい　氏名なども流出の可能性　アララ不正アクセスで](https://www.itmedia.co.jp/news/article/2611/11/2000003105/) — ITmedia NEWS

## この記事に出てくるIT用語

- [セキュリティインシデント](https://itpostjp.com/terms/security-incident/): 不正アクセスや情報漏えい、マルウェア感染など、情報セキュリティ上の脅威となる事象全般を指す言葉です。
- [フィッシング](https://itpostjp.com/terms/phishing/): 実在する企業になりすまして、パスワードやカード番号をだまし取る詐欺です。
- [第三者提供](https://itpostjp.com/terms/third-party-provision/): 企業が持つ個人情報を、本人の同意を得たうえで、その企業以外の会社や組織に渡すことです。

---

この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。

出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/cabinet-office-mail-magazine-arara-leak-62863/