一次群发放大波及面，大阪确认近108万条政务用户邮箱泄漏

大阪市11月13日确认，行政在线系统有1,078,713条用户邮箱地址外泄。受影响的是7月1日至10月31日期间收到系统邮件的地址。市方解释，9月16日曾向注册用户群发通知，因此数量格外大。规模由通知覆盖面放大，而不只是最近办理了多少笔业务。

被入侵的是外部邮件服务。大阪此前披露，政务系统提供商TKC使用了Arara的邮件配送服务；11月2日，TKC向市方报告了可能泄漏的信息。为了限制损失，邮件服务紧急维护，政务系统从10月31日傍晚起一度无法发信，注册、修改邮箱和重设密码等依赖邮件的操作也受到影响。当时的维护将外部服务的故障传递到了居民办事流程。

泄漏范围也经历了澄清。11月4日，市方转述调查结果，确认涉及的是邮箱地址，邮件正文、个人编号My Number及申请资料等没有泄漏；当时也未发现政务系统或TKC数据中心遭到入侵。13日的新增进展，是从仍在核查的风险变成了明确数量。事件的规模很大，但披露的资料类型仍然是联系地址。

另一项市政业务也受到波及。大阪同日公布，2026年溢价商品券项目泄漏了33,868条用户邮箱地址及14,669条参与店铺地址。该项目由另一承包联合体运营，同样使用Arara邮件服务。两项业务分别统计邮箱地址，跨项目可能存在同一用户，市方没有给出跨项目去重人数。商品券项目的用户及店铺管理系统，当时未发现遭入侵。

这次泄漏暴露出，一套公共服务的安全边界延伸到了负责发通知的供应商。用户在前台看见的是市政府，后台却需要不同公司的系统接力。邮件地址看起来只是一个投递位置，却也是假通知可以敲门的入口；越习惯接收办理进度和账户提醒，就越需要辨别突然出现的催办、付款或重新登录要求。对公共机构而言，供应商名单之外还应看清数据流向：谁保存收件地址、保存多久、出事后如何核定范围，以及关键邮件功能如何恢复。百万条地址背后的问题，落在了这些平时不太显眼的环节上。

官方终报发布时间：北京时间2026年11月13日12:00；美国东部时间2026年11月12日23:00（EST）。