大阪府の「子ども・大学生等への食費支援事業（お米PAYおおさかなど）」を申請した方は、個人情報に関する2つの発表を確認してください。2026年11月13日、大阪府は、食費支援の申請システムへの不正アクセスで、保護者と18歳以下の子ども6組・計12人分の本人確認書類画像が漏えいしたと発表しました。別の外部メール配信サービスでも、申請者のメールアドレスが漏えいした可能性があり、現在調査中です。
まず押さえておきたいのは、「本人確認書類12人分の漏えいは確定」「メールアドレスの漏えいは未確定」という違いです。12人分について大阪府は対象の申請者へ電話で連絡したと説明しています。一方、お米PAYを利用した全員の本人確認書類が漏れたわけではありません。この記事では、11月14日時点の大阪府・堺市の公式発表から、対象者の確認方法と対応を整理します。
何が漏えいした？確定した12人分と、調査中のメールアドレス
| 不正アクセスを受けた先 | 対象情報 | 2026年11月14日時点の状況 |
|---|---|---|
| 食費支援の申請システム | 本人確認書類の画像12人分（保護者と18歳以下の子ども6組） | 漏えいを確認。対象申請者へ府から電話連絡済み |
| 委託事業者が利用する外部メール配信サービス | 食費支援事業の申請者のメールアドレス | 漏えいの可能性。有無・対象件数を調査中 |
本人確認書類として公表されたのは、マイナンバーカードの表面、運転免許証の表面、健康保険証の両面の画像です。含まれる情報として、氏名、住所、生年月日、顔写真、免許証番号、免許区分、保険者名などが挙げられています。1人分の申請データでは、メールアドレス・電話番号欄へ無関係の番号等が追記されたことも確認されています。
マイナンバーカードについては、府が列挙したのは表面の画像であり、個人番号が記載された裏面の画像は公表された漏えい対象に含まれていません。ただし、顔写真や住所なども本人確認に使われる情報のため、対象者は府の案内に従ってください。
お米PAYを申請した人は対象？堺市民の扱いは
食費支援事業は2025～2026年度に実施され、2026年には「お米PAYおおさか（お米クーポン）」などの給付に使われました。申請歴があるだけで、12人分の本人確認書類漏えいの対象だとは判断できません。大阪府は10月22日に、漏えいした申請者へ電話で経過説明と注意喚起を行ったと発表しています。対象だと連絡を受けた方は、指示内容を確認し、不審な連絡があれば公式窓口へ問い合わせましょう。
堺市は、確定した12人分に堺市民は含まれていないと公表しています。ただし、堺市も府と共同で食費支援事業を実施しており、申請者メールアドレスの漏えい可能性について堺市民まで対象外とした発表ではありません。こちらは調査結果を待つ必要があります。
「メールが届かないから対象外」「過去にお米PAYを使ったから流出確定」といった判断もできません。メール配信サービスの漏えい対象者数や、個別通知の方法は、11月13日付の大阪府発表では明らかにされていません。
今すぐ何をする？申請者向けの確認・対処手順
- 大阪府の公式発表を確認する。この記事末尾の2つの大阪府発表と堺市の案内を開き、今後の調査結果を確認してください。
- 不審なメールやSMSのリンクを開かない。「お米PAYの再申請」「給付金の追加支給」「本人確認のやり直し」を装った連絡であっても、メール内のURLや添付ファイルから操作しないでください。これは今後考えられる一般的ななりすまし対策であり、今回この文面の偽メールが確認されたという意味ではありません。
- パスワード・暗証番号・カード情報を送らない。連絡が本物か迷う場合は、メッセージ内の電話番号ではなく、府や市の公式サイトに掲載された窓口を自分で調べて確認します。
- 府から個別連絡を受けた方は内容を保存する。漏えいした書類の種類、連絡日時、今後の案内を控え、覚えのない申込や請求等があれば速やかに関係機関へ相談してください。
- 被害が確認されていないアカウントまで一律に変更する必要はありません。今回の大阪府発表には、申請者のログインパスワードが漏えいしたとの記述はありません。ただし、不審なリンク先でパスワードを入力した場合は、直ちにそのサービスの正規画面から変更してください。
不正アクセスはいつ起きた？10月17日から11月13日公表まで
| 日付 | 確認された事実 |
|---|---|
| 2026年10月17日 14:53～22:30 | 申請システムに対して不正アクセスがあった時間帯 |
| 10月19日 | 保守管理の委託事業者がアクセス痕跡を発見。外部アクセスを遮断し、ログ解析を開始。大阪府へ報告 |
| 10月21日 | ログ解析により、不正アクセスの時間帯を確認 |
| 10月22日 | 府が12人分の情報漏えいに関係する申請者へ電話で説明・謝罪・注意喚起 |
| 11月5日 | 外部メール配信サービス運営会社から、委託事業者にメールアドレス漏えいの可能性が伝えられる |
| 11月10日 | 堺市が大阪府から不正アクセス事案の連絡を受ける |
| 11月13日 14:00 | 大阪府が2件について、それぞれ公式発表 |
技術的な原因は？申請システムの脆弱性とメール配信サービスを分けて考える
大阪府によれば、申請システムではシステムの脆弱性が悪用され、内部に侵入された結果、本人確認書類の画像データが閲覧・取得可能な状態等になったとされています。これが12人分の情報漏えいに関する公表済みの説明です。具体的な脆弱性の種類、CVE番号、ソフトウェア名、侵入に使われた操作、委託事業者名は公表資料に書かれていません。
技術的には、本人確認書類のアップロード機能では「申請した本人と担当者だけがファイルを参照できるアクセス制御」「保存先の公開範囲」「管理者操作の監査ログ」が特に重要です。例えば、権限確認に不備があれば、本来閲覧できない書類を第三者が取得するリスクが生まれます。ただし、これは一般的な仕組みの説明であり、今回その不備が原因だったと特定したものではありません。
一方、外部メール配信サービスの件は、委託事業者が利用する別のサービスへの不正アクセスです。府の発表では、実際にメールアドレスが外部へ流出したかどうかも調査中とされます。2件が同じ攻撃者・同じ脆弱性によるものかも未確認です。大阪市などで報じられた「アララメッセージ」の事故と大阪府のメール配信サービスが同一かについても、府の公表だけからは断定できません。
企業・自治体のIT担当者にとっては、外部委託先の申請システムとメール配信基盤を別々の資産として管理し、保管情報・アクセス権・ログ・事故時の連絡先と初動時間を点検することが実務上の要点です。侵害時には、対象データの特定と外部アクセス遮断を優先し、調査結果に合わせて通知範囲を更新します。
よくある質問（FAQ）
Q. お米PAYを利用した全員の本人確認書類が漏えいしたのですか？
いいえ。府が漏えいを確認した本人確認書類画像は、保護者と子ども6組、合計12人分です。一方、メールアドレスについては別件として漏えいの可能性を調査中であり、全申請者が安全と確認されたわけでも、全員の情報が流出したと確定したわけでもありません。
Q. 堺市で申し込んだ人は関係ありませんか？
堺市は、本人確認書類の漏えいが確認された12人に堺市民は含まれないと明記しています。ただし、申請者メールアドレスの漏えいの可能性については堺市も注意を呼びかけています。
Q. マイナンバーカードは再発行すべきですか？
今回の府の発表では、漏えい対象として挙げられたカード画像は表面です。一律に再発行が必要との案内は確認できません。個別の被害通知を受けた方は、まず大阪府に書類の種類と具体的な対応を確認してください。
Q. どこに問い合わせればよいですか？
大阪府 福祉部 福祉総務課 企画グループ（電話 06-6944-6780）が公式報道資料に記載された担当窓口です。食費支援制度自体の案内は大阪府の事業案内ページも確認してください。
まとめ：12人分の漏えいは確定、メールアドレスは続報を確認
現時点で明確なのは、申請システムに対する不正アクセスによって12人分の本人確認書類画像が漏えいしたこと、もう一つのメール配信サービスについては申請者メールアドレスの漏えい有無・件数を調査中だということです。申請した方は、府や市の公式サイトを確認し、不審なメールに記載されたURLから個人情報を入力しないようにしてください。
一次情報・更新履歴
- 大阪府：食費支援事業の申請システムへの不正アクセス（2026年11月13日）
- 大阪府：外部メール配信サービスでの情報漏えいのおそれ（2026年11月13日）
- 堺市：食費支援事業における情報漏えいのおそれについて（2026年11月13日更新）
2026年11月14日 11時台（日本時間）公式情報確認・初版公開。大阪府の2026年11月13日14時の報道発表と堺市の11月13日更新情報をもとに作成。未公表事項は推測で補っていません。
関連記事：アララメッセージの不正アクセスと大阪市でのメールアドレス漏えい。大阪府の本件との同一性が確認されたことを意味するものではありません。
