大阪市 11 月 13 日發布終報，指其行政線上系統所用的外部郵件寄送服務遭未授權存取，確認外洩 1,078,713 筆使用者電子郵件地址，對象為 2026 年 7 月 1 日至 10 月 31 日間收過該系統郵件的地址 [1]。市府先前說明，經調查外洩資訊僅限電子郵件地址，郵件內文、個人編號與申請資料等未外洩，且市府系統本體與系統供應商 TKC 的資料中心未發現遭入侵；The Record 指出遭入侵的是 TKC 使用的アララ郵件寄送服務 [2][3]。現在該做什麼：大阪市請使用者檢查上述期間是否收過寄件者 info-osaka-online@city.osaka.lg.jp 的郵件，並提醒勿開啟可疑郵件中的連結或附件、勿輸入帳密或信用卡資料，也不要回應要求付款的郵件 [1]。
中進行中官方確認
大阪市行政線上系統受アララ郵件服務入侵波及，逾 107 萬筆使用者信箱外洩
閱讀約 2 分鐘
- 揭露
- 2026年11月13日
- 發布
- 2026年11月14日
- 最後更新
- 2026年11月14日
- 影響規模
- 1,078,713 筆資料[1]
- CVSS 依據
- 本站評估
- 技術 / 系統類型
- 政府資訊系統郵件伺服器 / 郵件閘道
- 初始入侵方式
- 第三方 / 委外廠商遭入侵
- 影響
- 資料遭竊取
- 外洩資料類型
- 姓名 / 電話 / 地址 / Email
- 攻擊者類型
- 未知
- 動機
- 未知
本頁內容
30 秒摘要
事件時間軸
技術細節
發生什麼
大阪市表示，其行政線上系統由株式會社 TKC 提供，系統寄送郵件所用的外部服務遭未授權存取 [1][2]。The Record 指出，遭入侵的是 TKC 所使用的アララ郵件寄送服務，該服務也遭駭客用來寄送大量冒充信用卡公司與金融機構的惡意郵件 [3]。
外洩範圍
大阪市 11 月 13 日終報確認外洩 1,078,713 筆使用者電子郵件地址，對象為 2026 年 7 月 1 日至 10 月 31 日間收過該系統郵件的地址；市府說明件數偏高，是因 9 月 16 日曾向所有登錄使用者寄送通知信 [1]。市府 11 月 4 日第 2 報表示，外洩資訊僅限電子郵件地址，郵件內文、個人編號與申請資料等未外洩 [2]。
系統影響
大阪市表示，市府系統本體與 TKC 資料中心未發現遭未授權存取；目前無法進行使用者登錄、變更電子郵件地址與重設密碼，郵件寄送以外的功能仍可使用 [2]。
處置
大阪市表示無法回覆個別地址是否在外洩範圍內，對受影響者的個別通知方式仍在研議，並將要求 TKC 詳細報告不正存取的原因、影響範圍與再發防止措施 [1]。
建議措施
大阪市請使用者確認期間內是否收過 info-osaka-online@city.osaka.lg.jp 的郵件，勿開啟可疑郵件的連結或附件、勿輸入帳密或信用卡資料，也不要回應要求付款的郵件 [1]。
參考來源
官方 / 一級來源2
- [1]大阪市2026-11-13擷取日 2026-11-13已存檔 2026-11-14 sha256 c71e862a8b77
“利用者のメールアドレス 1,078,713件”
- [2]大阪市2026-11-04擷取日 2026-11-13已存檔 2026-11-14 sha256 1b283428cac5
“今回漏えいした可能性のある情報はメールアドレスのみであり、メール本文、マイナンバー、申請情報等のその他の情報は漏えいしていないことが確認された旨の報告がありました。”
媒體報導1
- [3]City of Osaka warns of data breach impacting 1 million as Japan reels from dozens of cyber incidentsThe Record2026-11-13擷取日 2026-11-13已存檔 2026-11-14 sha256 6f273c9b6a1a
“According to a statement published by the government of Japan’s third-largest city, hackers accessed the Arara email distribution service used by TKC Corporation, the company contracted to maintain the administrative services platform.”
技術諮詢
看完還不確定自己是否受影響？
告訴我們你的環境，我們協助比對這則通報、評估風險，並提供可執行的修補與監控建議。
本站內容為公開資訊整理，不構成資安顧問建議；修復步驟請先於測試環境驗證。