日本大阪市在线行政系统出现大规模邮箱地址外泄事件，一共有大约 108 万条用户邮箱地址被泄露，事件根源是外包邮件服务商 arara 遭到非法访问，这套系统是市民用来线上办理住民票申请、登记、密码修改等行政业务的平台，大阪市在 11 月 13 日对外通报这件事，市长横山英幸专门出面道歉，同时提醒收到可疑邮件的市民不要点开链接和附件。本次泄露只查到邮箱地址流出，暂时没有确认姓名、个人编号、银行卡这类敏感信息同步外泄，另外大阪市优惠商品券项目也在用同一家服务商，额外还有约 4.8 万条邮箱地址一并泄露。普通用户能做的防护步骤就是提高邮箱警惕性、开启二次验证、不随意填写账号密码，只要做好识别钓鱼邮件，就能降低被诈骗的风险，大家不用过度恐慌，但必须重视后续的钓鱼攻击风险。
事件基础信息清单
- 泄露主体：大阪市在线行政系统收件邮箱地址
- 泄露数量：约 108 万条（精确统计 1078713 条）
- 泄露时间范围：2026 年 7 月 1 日至 10 月 31 日
- 泄露诱因：外包邮件服务商 arara 遭受非法访问
- 已确认泄露内容：仅邮箱地址
- 暂未泄露内容：姓名、个人编号、银行卡信息
- 关联次生泄露：优惠商品券业务额外约 4.8 万条邮箱
- 官方动作：11 月 13 日通报、市长道歉、发布防钓鱼提醒
风险说明
虽然这次只有邮箱地址流出，没有配套身份信息，但黑客拿到邮箱后，可以定向发送伪装成大阪市政通知的钓鱼邮件，邮件里附带虚假链接、恶意附件，诱导受害者输入账号密码、银行卡信息，属于高风险钓鱼素材。
黑客会模仿市政通知标题、发件人样式，伪装成业务通知、申请结果、券款发放通知，迷惑收件人。
受影响用户应急操作步骤
- 检查这个邮箱绑定的各类平台账号，优先修改邮箱登录密码，设置复杂度更高的密码。
- 给邮箱开启二次验证（2FA），阻断别人拿到邮箱后直接登录。
- 凡是收到标注大阪市行政系统、商品券相关的邮件，不要直接点里面链接，有业务需要，自己手动打开大阪市官方网站核验。
- 不要在陌生页面输入证件号、银行卡、支付密码。
- 收到可疑邮件，直接删除，不要下载附件，不要回传任何个人资料。
- 持续留意银行、支付平台的交易提醒，一旦发现异常交易立刻冻结账户并报警。
平台整改方向
- 大阪市会重新评估外包服务商的安全能力，核查服务商的访问权限、日志审计机制。
- 对邮件发送服务做权限隔离，避免不同业务数据互相牵连泄露。
- 完善泄露事件的预警机制，缩短从入侵发现到上报的时间。
- 持续监控相关钓鱼活动，及时对外发布预警公告。
【常见问题】
问题 1：大阪市行政系统 108 万条邮箱地址外泄，是不是我的身份证、个人编号也跟着泄露了？
回答 1：大阪市官方核查后表示，本次大阪市行政系统外泄的只有邮箱地址，暂时没有确认姓名、个人编号等敏感信息同步流出，风险主要集中在定向钓鱼邮件上。
问题 2：大阪市行政系统邮箱地址外泄之后，黑客一般会怎么利用拿到的邮箱？
回答 2：黑客会利用这批大阪市行政系统外泄的邮箱，批量发送仿冒市政通知、商品券申领的钓鱼邮件，诱导用户点开假链接、提交账号密码或者银行卡信息实施诈骗。
问题 3：如果我是这次大阪市行政系统邮箱泄露的用户，需要主动去报备吗？
回答 3：目前官方没有要求用户主动报备，重点做好邮箱密码更换、开启二次验证、警惕钓鱼邮件即可，如果已经被骗、出现资金损失，需要及时报警并联系大阪市相关窗口反馈。
问题 4：这次大阪市行政系统 108 万邮箱外泄，是大阪市自己的服务器被攻破了吗？
回答 4：不是大阪市自有服务器被入侵，是大阪市行政系统委托的外包邮件服务商 arara 遭遇非法访问，才造成邮箱地址外泄，属于第三方供应链安全事故。
【参考资料】
[2026-11-14]（日本大阪市行政系统用户约 108 万条邮箱地址外泄，市长道歉）凤凰网科技
[2026-11-14]（日本大阪市行政系统用户约 108 万条邮箱地址外泄）新浪财经
[2026-11-13]（大阪市、行政システムでメアド 108 万件漏泄 アララ不正アクセス影響）产经新闻
[2026-11-13]（大阪市メアド 107 万 8713 件流出）CNET Japan
【免责声明】
本文仅针对大阪市行政系统邮箱外泄事件做安全科普，信息来源于公开媒体报道，后续官方调查结论可能更新；本文无法保证所有仿冒钓鱼邮件都能被识别，若遭遇诈骗、资金受损，请第一时间报警并联系对应平台处理，本文内容不构成法律和安全担保。