栃木県那須塩原市は2026年11月12日、市が導入する「スマート申請システム（どこでも窓口）」および「マイナンバーカード交付予約管理システム」に関連し、メールアドレス合計5,652件の漏えいを確認したと発表しました。両システムを提供する株式会社TKCがメール配信を委託していたアララ株式会社のサービスが第三者の不正アクセスを受けたことによるものです。
市によると、確認された漏えい情報はメールアドレスに限られ、氏名やマイナンバーなど、その他の個人情報の漏えいは確認されていません。停止していたメール配信機能は、11月11日のメンテナンスによって一部復旧しています。
那須塩原市のメールアドレス漏えいのサマリー
最新の市の発表：2026年11月12日更新
対象自治体：栃木県那須塩原市
対象サービス：「スマート申請システム（どこでも窓口）」「マイナンバーカード交付予約管理システム」
情報漏えいの起点：TKCのメール配信委託先であるアララの「アララメッセージ」への不正アクセス
漏えいが確認された情報：メールアドレスのみ
確認された件数：計5,652件（人数ではなくメールアドレスの件数）
氏名・マイナンバーなど：その他の個人情報の漏えいは確認されていない
システムへの影響：両サービスのメール配信機能の一部が停止。11月11日のメンテナンスで一部復旧
現在の対応：市と委託事業者が調査を継続し、市民に不審なメール・SMSへの警戒を呼びかけ
項目
公表された内容
発表主体
那須塩原市（デジタル推進課）
更新日
2026年11月12日
関係事業者
システム提供事業者：TKC／メール配信委託先：アララ
漏えいした情報
メールアドレス
漏えい件数
合計5,652件
対象サービス
スマート申請システム、マイナンバーカード交付予約管理システム
機能の復旧
2026年11月11日にメール配信機能の一部が復旧
TKCが利用する外部メール配信サービスへの攻撃が波及
市の発表によると、那須塩原市が利用する２つの行政サービスはTKCのシステムです。今回、TKCがメール配信業務を委託していたアララのサービスが不正アクセスを受け、同市のシステムで使用されていたメールアドレスに影響が及びました。
TKCが11月9日に公表した第6報では、メールアドレスの漏えいが確認された対象に、地方公共団体向けの「スマート申請システム」「マイナンバーカード交付予約・管理システム」などが含まれると説明しています。一方、TKCのシステムやデータセンターそのものへの不正アクセスは、同社の公表時点で確認されていません。
今回の5,652件は那須塩原市に関係するメールアドレスの件数で、アララ全体の漏えい件数でも、5,652人の異なる市民が被害を受けたことを示す数字でもありません。
マイナンバーや申請情報の漏えいとは区別が必要
対象の一つが「マイナンバーカード交付予約管理システム」であるため、カードに関する情報が漏えいしたように受け取られる可能性があります。しかし、市が確認した漏えい情報はメールアドレスのみです。
カードに記載されるマイナンバーや氏名について、今回の不正アクセスで漏えいしたという発表はありません。市は引き続き委託事業者と詳細調査を行い、新しい事実が判明した場合は追加公表するとしています。
セキュリティ対策Lab お役立ち資料
2026年に発生したサイバー攻撃・ランサムウェア事例をまとめて確認
国内外で発生した主要なサイバー攻撃やランサムウェア被害を、攻撃手法や対応状況とあわせて整理した資料です。
2026年の事例集を見る
11月11日のメンテナンスでメール配信機能の一部が復旧
アララのメール配信サービスが利用できなくなった影響で、那須塩原市の両システムでもメール送信機能の一部が停止していました。市は11月11日に実施されたメンテナンスにより、一部機能が復旧したと案内しています。
市民が注意すべきフィッシングメールと二次被害
メールアドレスが第三者に知られた場合、市役所、マイナンバーカードの窓口、委託事業者などを装った不審なメールやSMSが送られてくる可能性があります。那須塩原市も次の点を呼びかけています。
市や委託先、公的機関を名乗る連絡であっても、突然届いたリンクは開かず、市の公式サイトから手続きの案内を確認する
メールやSMSから誘導された画面にID・パスワード、マイナンバー、カード情報、銀行口座情報を入力しない
市は電話やメールでクレジットカード情報、口座番号、暗証番号を尋ねないと案内しているため、そのような要求には応じない
不審なリンク先でパスワードを入力してしまった場合は、当該サービスのパスワードを変更し、使い回している他のサービスのパスワードも変更する。カード情報を入力した場合はカード会社へ連絡する
メールアドレスの漏えいだけで、マイナンバーカードの機能が停止したり、本人のマイナンバーが流出したりするわけではありません。被害の事実を正確に把握し、不審な連絡に注意することが必要です。
大阪市などへの影響も同じ上流のアララ事案
TKCが提供する自治体向けシステムへの影響は、那須塩原市に限りません。大阪市でも行政オンラインシステムで使用したメールアドレスの漏えいが確認されています。大阪市の件数や対象期間は、大阪市の行政オンラインシステムに関する続報で整理しています。
今回の両市への影響は、TKCの委託先アララへの同じ不正アクセスに伴う波及です。それぞれの自治体の件数をそのまま足して、上流で起きた攻撃の被害総数とみなすことはできません。委託先の経緯やメール送信機能への影響については、TKCの不正アクセスに関する続報でも確認できます。
自治体の情報システム担当者が確認したい事項
住民向けサービスで外部メール配信基盤を利用している場合、システム本体が侵害されていなくても、宛先情報の漏えいや通知機能の停止が発生し得ます。自治体の担当者は、委託先や再委託先から、どの通知メールに使われるアドレスが対象となったか、重複を除いた対象者の特定ができるか、代替配信経路の切り替え状況はどうかを確認する必要があります。
住民への案内では、漏えいしたメールアドレスと、漏えいが確認されていない氏名・マイナンバー・申請内容を混同しないことが大切です。また、被害を装うフィッシングメールへの注意と、申請・予約の受付機能が使えるかどうかを分けて周知することが実務上の対応となります。
出典
この記事をシェアする
メールマガジン
最新のセキュリティ情報やセキュリティ対策に関する情報をお届けします。
Googleアカウントへのログインが必要です
投稿者：三村
セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)