Osaka’s premium shopping-voucher scheme is now part of the warning over a compromised outside mailing service. The city says email addresses belonging to scheme users and participating shops may have leaked. It has not yet confirmed which addresses, or how many, were exposed.

This is a November 6 notice about Osaka City Premium Gift Vouchers 2026, not a new count for the separate administrative online system covered earlier this week. The common link is outside email provider Arara.

What the city has actually confirmed

In its first report, issued at 20:10 on November 6, Osaka City said the scheme’s contractor, the JTB, EVENTIFY and Giftpad joint venture led by JTB, reported unauthorised access to Arara’s email-delivery service.

The city says the contractor reported on November 5 that addresses recorded by Arara during mailings from July 1 onward were highly likely to have been exposed. A further report on November 6 said the potentially leaked information was email addresses only. The city is still investigating whether addresses were actually taken and the number affected.

The two groups named in the notice are voucher-scheme users and participating shops. The city says unauthorised access to the system managing those users and shops has not been confirmed. That is not the same as a guarantee that no information escaped through the outside mailing service.

No confirmed Osaka voucher leak total

Do not read the scheme’s size, number of vouchers or shop count as the number of leaked addresses. The city’s affected-address count is still being checked. Nor should a supplier-wide figure be presented as an Osaka total.

Arara’s own November 6 statement describes a wider incident affecting multiple customers, including information taken or potentially taken and fraudulent emails sent through its service. The details differ between customers. Its wider account does not establish that additional kinds of information leaked from this Osaka voucher scheme.

What users and shops should do

The city asks people to be careful with suspicious email: do not open unfamiliar links or attachments, and do not enter account IDs, passwords, PINs or card details in response. If any specific action becomes necessary for voucher users or shops, the city says it will announce it on the city website and the scheme’s official website.

Use those official notices rather than a message claiming that an urgent security check requires your payment details. This report does not establish that the voucher-management system itself was broken into or that voucher balances were taken.

The useful distinction is simple: there is a city warning about possible email-address exposure, but the local scope remains unsettled. A headline should not turn that into a confirmed theft of everyone’s account data.

---

日本語：プレミアム付商品券の利用者・参加店舗にメール漏えいの可能性

大阪市は11月6日20時10分、「大阪市プレミアム付商品券2026」で利用する外部メール配信サービスへの不正アクセスにより、利用者と参加店舗のメールアドレスが漏えいした可能性があると発表しました。対象アドレスや件数、実際の流出の有無は調査中です。

今回の発表は商品券事業についての第1報です。今週報じた行政オンラインシステムの件数が新たに判明した、という意味ではありません。いずれも外部のメール配信事業者アララに関係しますが、別のサービスとして区別する必要があります。

市の発表で分かっていること

市によると、受注事業者のJTB・EVENTIFY・ギフトパッド事業共同体（代表構成員JTB）から11月5日、7月1日以降の配信時にアララ側で記録されたアドレスが流出した可能性が高いとの報告がありました。11月6日の報告では、流出した可能性がある情報はメールアドレスのみとされています。

対象として挙げられたのは、商品券事業の利用者と参加店舗のアドレスです。利用者・参加店舗を管理するシステムへの不正アクセスは、現時点で確認されていません。ただし、それは外部メール配信サービスからの流出もなかったと断定するものではありません。

件数は未確認。商品券の口数とは別

市が公表した対象件数は「現在確認中」です。商品券の発行口数、参加店舗数、アララ全体の流出件数を、そのまま大阪の商品券事業の漏えい件数と読み替えることはできません。アララの11月6日発表は複数の顧客に関する広い範囲の事故を説明していますが、それだけで本事業からメールアドレス以外も流出したとは言えません。

不審なメールに注意

市は、心当たりのないメールのURLや添付ファイルを開かず、ID・パスワード、暗証番号、カード情報などを入力しないよう呼びかけています。利用者や店舗に特定の対応が必要になった場合は、市ホームページや商品券の公式ホームページなどで知らせるとしています。

現時点の発表から、商品券の管理システム自体への侵入や、残高の窃取が確認されたとは言えません。確認済みの事実と、調査中の範囲を分けて読む必要があります。

Sources and photo

• Osaka City, November 6 first report on the voucher scheme
• Arara, November 6 statement on the wider incident
• Separate administrative online system report, November 4
• NHK, November 6 reporting on the voucher notice

Photo: Osaka City Hall, September 26, 2013, by Oilstreet, Wikimedia Commons, CC BY 2.5, cropped. File photo, not evidence of the incident.

Sources checked November 7, 2026, 08:15 JST. Investigation findings may change. Published by Osaka Club.