事案の概要データ
| 公表日 | 2026年11月6日 |
|---|---|
| 経路（1）佐川急便 | 「いきいきシニアポイント事業」のプレゼント発送を再委託先として請け負う佐川急便のWebサイト「お荷物問い合わせサービス」への不正アクセス。当選者の氏名・住所・電話番号 253件が漏洩した可能性 |
| 経路（1）の報告 | 委託先のJTBから2026年11月5日に報告があり判明 |
| 経路（2）ARTPASS | 京都市京セラ美術館のチケットサービス「ARTPASS」を運営するインヴェンティットから、アララのメール配信システムへの不正アクセスで利用者情報が流出したと報告 |
| 経路（3）アソビュー | 元離宮二条城の「アソビュー!」を運営するアソビューから、同じくアララ経由で利用者情報が流出した（可能性を含む）と報告 |
| 市の管理する情報 | 流出は確認されていないと説明 |
| 構造 | いずれも京都市 → 委託先 → 再委託先（またはその先）という形 |
図解：この事故の構造
何が起きたのか
京都市は2026年11月6日、3つの委託経路での情報流出を公表しました。
（1）佐川急便の「お荷物問い合わせサービス」。 「いきいきシニアポイント事業」のプレゼント発送を再委託先として請け負う佐川急便のWebサイトが不正アクセスを受け、当選者の氏名・住所・電話番号 253件が漏洩した可能性があります。委託先のJTBから11月5日に報告を受けて判明しました。
（2）京都市京セラ美術館のチケットサービス「ARTPASS」。 運営するインヴェンティットから、アララのメール配信システムへの不正アクセスで利用者情報が流出したと報告がありました。
（3）元離宮二条城の「アソビュー!」。 運営するアソビューから、同じくアララ経由で利用者情報が流出した（可能性を含む）と報告がありました。
市が自ら管理する情報の流出は確認されていないとしています。
市のシステムは無事なのに、市民の情報が出ていく
ここが、自治体の情報漏えいの難しいところです。
京都市のシステムは、1つも破られていません。 それでも、京都市の事業に参加した市民の情報が外に出ました。
なぜか。市が直接やらない仕事を、民間に委託しているからです。
・プレゼントの発送 → JTB → 佐川急便
・美術館のチケット販売 → インヴェンティット → アララ
・二条城のチケット販売 → アソビュー → アララ
どれも合理的な委託です。市の職員がプレゼントを箱詰めして発送するより、運送会社に任せるほうが安く確実です。
しかし、委託した瞬間に、市民の氏名と住所は市の外に出ます。 そして、委託先がさらに別の会社を使えば、もう一段外に出ます。
本サイトでは11月に、同じ構造を何度も扱いました。山梨県（アソビュー→アララ）、沖縄県・埼玉県（同）、全国の自治体（TKC→アララ）、島根県（クラブツーリズム）。自治体の事案の大半が、委託先・再委託先の事故です。
中小企業が自治体や大企業の仕事を受けている場合、自分が「委託先」の立場になります。 そのとき確認すべきことは3つです。
1. 受け取ったデータを、さらに別のサービスに入れていませんか。 発送ラベルの作成、メール配信、チラシの印刷。再委託には、委託元の承諾が必要なのが普通です。
2. 仕事が終わったあと、データを消していますか。 「来年も同じ仕事をもらえるかもしれないから」と残していませんか。
3. 事故があったとき、何時間以内に委託元へ報告しますか。 契約書に書かれていなくても、自分で決めておいてください。
「当選者253件」に住所があること
経路（1）の項目を見てください。氏名・住所・電話番号、253件。 「いきいきシニアポイント事業」の当選者です。
件数は小さいのですが、性質を考えておく必要があります。
①高齢者向けの事業である。 事業名に「シニア」とあるとおり、対象は高齢の市民です。
②当選したという事実が分かっている。 「京都市の事業で当選された○○様ですね」と言える。
③氏名・住所・電話番号がそろっている。 電話もかけられるし、訪問もできます。
この3つがそろうと、高齢者を狙った詐欺の材料として、かなり使いやすい形になります。「プレゼントの再配達について」「当選手続きに不備があり、手数料が必要です」。
対象となる可能性がある方、そしてご家族に伝えてほしいことは、1つです。市役所や運送会社を名乗る電話で、お金の話が出たら、いったん切って家族か市の窓口に相談する。
本物の市役所が、電話で手数料やお金を求めることはありません。
中小企業の経営者の方で、高齢のお客様が多い事業をされているなら、自社の顧客名簿が漏れたときに起きることも同じだと考えてください。名簿の管理は、お客様の安全に直結します。
そして、自社の名前を騙る電話が増えたという相談が来たら、それは漏えいのサインかもしれません。平時から、お客様に「当社が電話でお金の話をすることはありません」と伝えておくと、被害を減らせます。
時系列で見る経過
- 2026年10月1日頃佐川急便の「お荷物問い合わせサービス」への不正アクセスが判明（他社の公表による）
- 2026年10月28日〜31日アララのメール配信基盤が侵害される（経路2・3の発端）
- 2026年11月5日委託先のJTBから京都市へ、佐川急便経由の流出について報告
- 2026年11月6日京都市が3つの経路をまとめて公表。佐川急便経由は当選者253件。市が管理する情報の流出は確認されていない
中小企業が学ぶべきポイント
- 京都市のシステムは1つも破られていないのに、市民の情報が3つの経路から外に出た。
- 委託した瞬間に、市民の氏名と住所は市の外に出る。再委託されれば、もう一段外に出る。
- 2026年11月の自治体の事案は、大半が委託先・再委託先の事故だった。
- 自治体や大企業の仕事を受けている中小企業は、自分が「委託先」の立場であることを意識する。
- 受け取ったデータを別のサービスに入れるのは再委託。委託元の承諾が必要なのが普通。
- 仕事が終わったらデータを消す。「来年も同じ仕事があるかも」で残さない。
- 事故のとき何時間以内に委託元へ報告するかを、契約書になくても自分で決めておく。
- 高齢者向け事業の当選者253件に氏名・住所・電話番号がそろっていた。詐欺に使いやすい形。
- 本物の市役所が電話で手数料やお金を求めることはない。いったん切って家族か市の窓口に相談する。
- 自社名を騙る電話が増えたという相談は、漏えいのサインかもしれない。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。