アララ不正アクセスで止まる関西のメール 防災はアプリ、申請はマイページ

メールの配信会社の安全が確認できたという知らせを、どこまで信じてよいのでしょうか。

兵庫県の防災メール「ひょうご防災ネット」は10月30日、配信を委託するアララのシステムについて「安全性が確認できました」として、メールを再開しました。翌31日、メールはまた止まりました。11月3日朝の時点で、再開の日は決まっていません。

発端は、メール配信サービス「アララメッセージ」への不正アクセスです。アララ（東京都港区）は10月28日に不正アクセスを確認しました。11月2日の第2報では、最大約380社の環境からメールアドレス約7,700万件が持ち出された（おそれを含む）と発表しました。アララメッセージは10月31日から止まったままです。

メールの一斉送信を配信サービスに任せる自治体や会社は、少なくありません。1社が破られると多くの登録先に広がる仕組みは、10月の配信会社の事故の図解でご覧いただけます。今回は関西でも、防災の知らせや役所の申請の通知まで届かなくなりました。いま関西で止まっていると公式に案内されているメールは、次の3つです。

3つとも、メールを使わない道は止まっていません。防災情報も申請の受け付けも、メールの外で確かめられます。

防災メールが止まった影響は、警報と震度

ひょうご防災ネットは、兵庫県と県内の市町が避難情報や気象警報、県内で震度4以上の地震の情報などを送るサービスです。神戸市の案内によると、メール配信は10月28日18時50分の時点で使えなくなり、メールの登録と解除のページも一時的に閉じたままです。

運営側のお知らせを順に読むと、止まり方は少し込み入っています。28日はアララへの不正アクセスを理由に止め、30日に再開しました。31日の停止は「セキュリティ上の予防的措置」の緊急メンテナンスで、「10月28日に発生した事案とは関連はございません」という説明です。

では、メールの登録者は今、何を受け取れていないのでしょうか。大雨や高潮の警報、地震と津波の情報、避難情報のメールです。

ただ、同じ情報はアプリで届きます。神戸市の案内によると、アプリの配信情報は「メール版と同一」で、メールを登録していなくても使えます。iPhoneとAndroidの両方に対応したアプリです。

スマートフォンを持たない家族にも、対応する携帯電話なら緊急速報メール（ドコモはエリアメール）が届きます。姫路市の説明では、緊急速報メールは「メールアドレスを用いずに」市内の携帯電話へ送る仕組みで、登録した名簿に送るメールとは別物です。もっとも、姫路市がこれで送る知らせは、避難指示や津波の情報など急ぎのものに限られます。

姫路市は10月29日、防災行政無線や「ひめじ防災Web」、防災アプリでの発信は続けていると案内しました。一方で、ひょうご防災ネットと連携して送る市公式LINEの配信も、そのとき止まっていました。

関西の防災メールが配信会社の事故で止まるのは、10月だけでも初めてではありません。10月中旬には、箕面市のアルカディアへの不正アクセスで、生駒市など別の市町の防災メールが止まりました。受け取る道がメール1本だと、配信会社が止まった日に知らせが途切れます。兵庫に住む親がメールだけで受け取っているなら、次に会うときにアプリを一緒に入れておくと、大雨の夜に慌てずに済みます。

大阪と兵庫の18府市町で、申請の通知が止まる

姫路市は11月2日、「姫路市オンライン手続きポータルサイト」で申請完了通知などのメールが届かない状態だと発表しました。サイトの構築を受けたTKCが、メールの送信をアララに再委託していたためです。市はTKCから、ポータルに登録したメールアドレスや氏名などが漏えいした可能性があるという報告を受けました。クレジットカードの情報は含まないといいます。

このポータルと同じ仕組みの申請サイトは、関西のほかの自治体にもあります。編集部が11月3日朝、関西の2府4県と198の市町村について同じ仕組みの入り口を開いたところ、18か所に同じ文面の「メール送信ができない状況が発生しております」が出ていました。

• 大阪府では、大阪府、大阪市、堺市、守口市、八尾市、大東市、高石市、藤井寺市、東大阪市、泉南市
• 兵庫県では、神戸市（e-KOBE）、姫路市、尼崎市、西宮市、伊丹市、加古川市、多可町、稲美町

京都府、奈良県、滋賀県、和歌山県では、同じお知らせは見つかりませんでした。大阪市も11月3日の第1報で、TKCからアララの件の報告を受け、利用者のメールアドレスや氏名などが漏えいした可能性があると発表しました。対象の件数は確認中です。

この2市のほかのお知らせは、配信の事業者の名前を出していません。ただ、止まり始めた「10月31日（土）17:40頃」は、姫路市にTKCから緊急停止の報告が入った午後5時37分とほぼ重なります。

お知らせによると、止まったのは登録とログインの入り口です。利用者登録やメールアドレスの変更、パスワードの再設定ができず、ログインのときにメールの二段階認証が要る人はログインもできません。

申請そのものは出せます。ログインに1分ほどかかり、申請のあと読み込み中の表示が続いても、1分ほど待てば完了するといいます。姫路市は、通知のメールが来ないときはマイページで申請の状況を見るか、手続きの担当部署に問い合わせるよう求めました。

締め切りのある手続きを、ログインできずに出せない人もいるはずです。その場合は、締め切りの前に担当の窓口へ電話しておくのが確実でしょう。

偽物の恐れは、カード会社を装うメール

アララのサービスは、乗っ取られて偽メールの送り元にもなりました。第2報によると、10月28日から30日にかけて、送信元「news@arara.com」から最大約713万通が送られました。件名は「利用内容確認のご依頼」「ご利用明細確認のご依頼」などで、クレジットカード会社を装っていました。姫路市によると、カード会社や行政機関を装うメールが届いた例もあります。

驚くのは、その宛先です。アララによると、送り先は「第三者が外部から持ち込んだメールアドレス」でした。このメールが届いても、自分のアドレスがアララから漏れたことにはなりません。逆に、届いていないから漏れていない、とも言えません。

これからは、漏れた名簿を使った連絡にも気をつけたいところです。アララは、自社や契約企業をかたるメールやSMS、電話、郵便物への注意を呼びかけました。神戸新聞社は11月2日、メールマガジンの受信者約4万件のメールアドレスが漏えいしたとアララから連絡を受け、すべてのメールサービスを止めました。

たとえば、止まっている申請サイトや防災ネットの名前で「再登録」や「再開」をうたうメールが来ても、リンクは押さずに公式のサイトを自分で開けば確認できます。ひょうご防災ネットは再開をメールで知らせる予定ですが、これまでの停止と再開は、どれもサポートセンターのお知らせのページで確かめられます。

リンク先でカード番号などを入れてしまったら、すぐにカード会社へ連絡してください。アララ自身も、パスワードやカード情報の入力をメールで頼むことはないと明言しました。

「対象外」の知らせは、まだ途中経過

自分のアドレスが漏れたかどうかを、利用者がアララに直接たずねる方法はありません。第2報に載る問い合わせ先は契約企業向けだけで、アララは各社へ個別に連絡する方針です。利用者への知らせは、登録先の会社や自治体から届きます。

その知らせも、途中で書き換わることがあります。18府市町の申請サイトは10月29日、事業者の調査で「不正アクセスによる影響および情報漏洩がない」と確認できたと案内していました。姫路市も30日、TKCから漏えいはないと報告を受けました。ところが11月2日、市が受けたのは漏えいの可能性があるという報告でした。

手がかりは第2報の経緯にあります。契約企業の環境からのデータの持ち出しは、10月29日1時36分から30日2時22分にかけて続いていました。アララの把握は31日の午前です。29日の「影響なし」は、当時分かっていた範囲での答えだったことになります。

数字もまだ動きます。約7,700万件は持ち出されたおそれを含む件数で、1人が複数のアドレスを持つこともあるため、人数ではありません。精査の結果は第3報で出る予定です。ひょうご防災ネットのアドレスが第2報の範囲に入るかどうかは、11月3日朝の時点で公表されていません。

再開について、アララは侵入経路の特定や認証情報の全面的な変更を済ませたうえで判断するとしており、時期は未定です。登録先から「対象外でした」と届いても、それは今のところの答え。メールが来ない前提で、アプリとマイページで確かめる日が、もうしばらく続きそうです。

警報の夜に防災メールが鳴らへんのは心細いから、兵庫の家族のスマホにもアプリを入れといてな。

2026年11月4日 更新：大阪市が11月3日に出した第1報の内容を加えました。