事案の概要データ
| 公表日 | 2026年11月2日（第3報まで公表） |
|---|---|
| 不正アクセスを受けた事業者 | アララ株式会社（メール配信サービス「アララ メッセージ」） |
| 件数 | メールアドレス 最大2,230,812件 |
| 漏えいした情報 | メールアドレスのみ（第3報で確認） |
| 漏えいしていないことが確認された情報 | メール本文、マイナンバー、市町村への申請情報等 |
| 未確定の点 | どの利用者（どの自治体）のアドレスかは調査中 |
| TKCのサービス | 自治体の電子申請共通システム、オンライン手続きポータル、マイナンバーカード交付予約・管理システム等 |
| 波及した自治体の公表（例） | 横浜市、川崎市、大阪市、姫路市、豊橋市、大津市、宇都宮市など（2026年11月2日〜3日） |
| 宇都宮市の公表 | 個人アカウント約31,000人、事業者アカウント約5,800団体のメールアドレス・氏名・メール本文が漏えいしたおそれ |
| 大津市の公表 | マイナンバーカードの受取を予約した市民のメールアドレスが漏えいした可能性。マイナンバーの漏えいはない |
図解：この事故の構造
何が起きたのか
株式会社TKCは2026年11月2日、メール配信業務を委託していたアララ株式会社の「アララ メッセージ」が不正アクセスを受け、同社システムを利用する顧客のメールアドレス最大2,230,812件が外部に漏えいしたと公表しました。
第3報では、漏えいしたのはメールアドレスのみで、メール本文・マイナンバー・市町村への申請情報等は漏えいしていないことが確認されたとしています。ただし、どの利用者のアドレスかは調査中です。
TKCは、自治体の電子申請共通システムやマイナンバーカード交付予約・管理システムを全国の市区町村に提供しています。そのため、TKCの公表を受けて多数の自治体が相次いで住民向けに公表しました。
確認できている例では、横浜市（電子申請・届出システム）、川崎市（オンライン手続かわさき／e-KAWASAKI）、大阪市（行政オンラインシステム）、姫路市（オンライン手続きポータル）、豊橋市・大津市（マイナンバーカード交付予約）、宇都宮市（電子申請共通システム）などです。
宇都宮市は、個人アカウント約31,000人・事業者アカウント約5,800団体のメールアドレス、氏名、メール本文が漏えいしたおそれがあると公表しています。
「マイナンバーは漏れていない」をきちんと読む
住民にとって、いちばん気になるのは「マイナンバーが漏れたのか」です。
大津市・豊橋市は、マイナンバーカードの交付予約システムを通じた漏えいであり、マイナンバー自体は漏えいしていないと説明しています。TKCの第3報も、マイナンバーと申請情報は漏えいしていないと確認したとしています。
なぜ分かれるのか。予約のためのメール送信に使うデータと、申請の中身は別の場所にあるからです。「○月○日○時に窓口へお越しください」というメールを送るのに、マイナンバーは必要ありません。
ここは中小企業にとっても応用がきく考え方です。用途ごとにデータを分けて置いておくと、1か所が破られても被害が止まります。
よくない例は、1つの表（Excelでも業務システムでも）に、連絡用のメールアドレスから、取引金額、マイナンバー、口座番号まで全部並べてしまうことです。その表が漏れると全部漏れます。
分け方の目安はこうです。①連絡用（氏名・メール・電話）②取引用（金額・日付・内容）③特定個人情報（マイナンバー関連）。③は、法令上も別管理・アクセス制限が求められます。
そして、外部サービスに渡すのは①だけにできないかを考える。本件でマイナンバーが守られたのは、まさにそこが分かれていたからです。
システム提供会社1社が、全国の自治体の公表を発生させた
本件の構造を、段で数えてみます。
①アララ（メール配信）が侵害された。②アララを使っていたTKC（システム提供会社）のデータが流出した。③TKCのシステムを使う全国の自治体が影響を受けた。④各自治体が住民に公表した。
住民から見ると、手続きをしたのは市役所です。アララもTKCも知りません。それでも公表するのは市です。
この形は、2026年10月から本サイトで何度も出てきました。アルカディア（自治体の防災メール）、ユミルリンクのCuenote、ブラストメール、そしてアララ。共通するのは「自治体が共同で使う1つの基盤」が狙われていることです。
自治体が1社に集約するのは、コストと運用の面で合理的です。ばらばらに作るより安く、品質も揃います。ただし、集約すると1回の事故の影響範囲も集約されます。
中小企業に置き換えると、業界共通のクラウドサービス（業界団体が推奨する販売管理、予約、受発注など）を使っている場合に同じことが起きます。安くて便利ですが、止まるときは業界ごと止まります。
やっておくことは2つです。①そのサービスが止まった日の代替手順を、紙1枚で用意する。 電話で受ける、Excelに記録する、後でまとめて入力する。この程度で構いません。②顧客への案内文のひな形を作っておく。 事故の当日は文章を考える余裕がありません。
時系列で見る経過
- 2026年10月28日〜31日アララのメール配信基盤が侵害され、契約企業向けサーバーからデータが持ち出される
- 2026年11月2日TKCが公表。メールアドレス最大2,230,812件。第3報でメール本文・マイナンバー・申請情報の漏えいはないと確認
- 2026年11月2日姫路市、川崎市、宇都宮市などが住民向けに公表
- 2026年11月3日横浜市、大阪市、豊橋市、大津市などが公表。板橋区は「いたばしPay」の登録情報が対象に含まれるか確認中と公表
- （調査中）どの自治体・どの利用者のアドレスかの特定が継続
中小企業が学ぶべきポイント
- 第3報で「漏えいしたのはメールアドレスのみ」と範囲を確定させた。範囲を絞る続報は不安を減らす。
- マイナンバーが守られたのは、予約の連絡用データと申請の中身が別の場所にあったから。
- データは用途で分けて置く。連絡用・取引用・マイナンバー関連。1つの表に全部並べると、漏れるときは全部漏れる。
- 外部サービスに渡すのは連絡用だけにできないかを考える。
- 自治体が1つの基盤に集約するとコストは下がるが、1回の事故の影響範囲も集約される。
- 業界共通のクラウドサービスを使う中小企業も同じ構造。止まる日の代替手順を紙1枚で用意しておく。
- 顧客への案内文のひな形を平時に作る。事故の当日は文章を考える余裕がない。
出典・参考
- 2026年11月の不正アクセス・情報漏えい（不正アクセス・情報漏えい事案一覧）
- ペイクラウドHD、「アララ メッセージ」への不正アクセスで約7700万件のメールアドレスが流出（INTERNET Watch・2026年11月2日）
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。