EAファーマのメール誤送信（医療関係者994名のメールアドレス流出）
公表日
EAファーマで、講演会の案内メールを送る際に宛先の入力を誤り、医療関係者994名のメールアドレスが受信者同士に見える状態になったと報じられました。流出が報じられているのはメールアドレスのみです。
対象者は？
EAファーマの情報配信サービスに登録し、情報の提供に同意していた医療関係者994名です。報道では、流出したのはメールアドレスのみとされています。そのほかの個人情報が含まれていたかどうかは、報道の公開部分が途切れており確認できません。
2025年10月7日ごろに、EAファーマからの講演会の案内メールが届いた方が対象に含まれていた可能性があります。個別の連絡が行われるかどうかは、まだ発表されていません。
いますぐできること
- EAファーマを名乗るメールが届いても、本文のリンクや添付ファイルをすぐには開かず、送信元のアドレスを確認する。
- 心当たりのない講演会の案内などが届いたら、返信せず、勤務先の情報システム担当者に相談する。
- 同社からの公式なお知らせが出たら、内容を確認する。
何が起きたのか
2025年10月7日の午後4時30分、EAファーマの従業員が、情報配信サービスに同意していた994名あてに、講演会の案内メールを10回に分けて送りました。本来は他の人に見えない「BCC」に入れるべきメールアドレスを、誰にでも見える「TO」に入力してしまいました。そのため、受信した人どうしで、他の人のメールアドレスが見える状態になりました。同社は10月14日にこのことを発表しました。
なぜ起きたのか・なぜ広がったのか
宛先の入力欄を取り違えたことが原因と報じられています。外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。ではなく、メールを送る際の入力の誤りです。そのほかの背景や、確認の手順がどうなっていたかについては、まだ発表されていません。
いまの状況2025-10-24 時点続報待ち
2025年10月24日時点で、報道されているのは流出したメールアドレスが994人分という内容です。再発防止策、受信者への個別の連絡、メールアドレスが悪用されたかどうかについては、まだ発表されていません。
企業として考えたいこと
自社が大量の宛先にメールを送るとき、宛先の入力を間違えても他の人にアドレスが見えない仕組みになっていますか。
技術的な要約
EAファーマ株式会社は2025年10月14日、メール誤送信によるメールアドレスの流出を発表した。2025年10月7日午後4時30分、同社従業員がOutlookを使い、情報配信サービス提供に同意のあった994名へ講演会の案内メールを10回に分けて送信した。その際「BCC」に入力すべきアドレスを誤って「TO」に入力し、受信者間で他者のメールアドレスが表示される状態となった。流出したのは医療関係者994名のメールアドレスと報じられている。流出したのはメールアドレスのみで、そのほかの個人情報については報道の公開部分が途切れており確認できない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明報道・研究者外部からの侵入ではなく、従業員がOutlookで「BCC」に入力すべきメールアドレスを誤って「TO」に入力した誤送信。侵入経路には該当しない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし
- データ
- 確定上限 994確定 994人メール情報配信サービスに同意のあった994名のメールアドレスが受信者間で表示された。流出したのはメールアドレスのみと報じられたが、そのほかの個人情報についての記述は公開部分で途切れている。対象は医療関係者と報じられた。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
報じられている事実関係 事実
EAファーマは2025年10月14日、自社が共催する講演会の案内メールを送る際、情報配信サービス登録者のメールアドレス994人分が流出したと発表したと報じられた。10月7日午後4時30分、情報配信サービスの提供に同意のあった994名に対し、同社の従業員がOutlookで案内メールを10回に分けて送信した。「BCC」に入れるべきアドレスを誤って「TO」に入力したため、受信者間で他者のメールアドレスが表示される状態になった。流出したのはメールアドレスのみと報じられている。対象は医療関係者994名と報じられた。
数値と情報源の範囲 事実
件数として確認できるのは、メールアドレス994人分、送信先994名、送信回数10回という数字である。いずれも報道に基づくもので、今回渡された情報源は報道3件のみであり、同社の発表文そのものは含まれていない。メールアドレス以外の個人情報について、報道の公開部分は途中で途切れており、内容を確認できない。したがって、流出の範囲はメールアドレスのみとの報道があるものの、それ以外の情報が含まれなかったかどうかは、この資料だけでは確定できない。
事案の構造（解釈） 解釈
この事案は、外部からの侵入ではなく、メール送信時の宛先欄の入力という操作が起点になっている。TOとBCCの取り違えは、個人の注意だけで完全に防ぐのが難しい種類のミスであり、送信画面の運用に頼る方式では起こりうると考えられる。また10回に分けた送信という点から、手作業での一斉配信が行われていた可能性がある。ただし、配信の手順や使用していた仕組みの詳細は、渡された情報には書かれていない。そのため、これらはあくまで一般的な読み取りであり、同社の運用の評価ではない。
影響の見方（解釈） 解釈
流出が報じられているのはメールアドレスで、パスワードや金融情報などの記載は確認できない。このため、直接の被害は限定的とも考えられる。一方で、受信者同士に宛先が見える状態では、医療関係者向けの情報配信サービスに登録しているという関係が、受信者の間で分かってしまう。また、アドレスを知った第三者が、講演会や製薬企業を装った不審メールを送る足がかりにする可能性も、一般論としては否定できない。ただし、実際に悪用された事実は、渡された情報には記載がない。
対応
- 封じ込め
- —
- 公表の仕方
- 2025年10月14日に同社が発表。発生は10月7日で、公表まで約1週間。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 宛先欄の取り違えは、個人の注意だけに頼ると再発しうる | 一斉配信はOutlookの手入力ではなく、受信者ごとに個別送信するメール配信システムやメーリング配信機能に移す。受信者全員を同じTO欄に並べられない設計にする。 |
| 送信前に外部宛先の件数と欄の種類を確認できると防ぎやすい | メールゲートウェイやDLP製品で、外部宛先が一定数を超えるTO/CC付きメールを保留または警告する。保留中のメールを送信前に確認する承認手順を設ける。 |
| 大量宛先への送信は、小規模な試験送信で確認してから実施する | 本番送信の前に社内のテストアドレスへ同じ形式で送り、宛先欄の表示を確認する手順をチェックリストに入れる。確認者は送信者とは別の担当者にする。 |
| 誤送信が起きたときの初動手順を、事前に決めておく | 誤送信を検知した際の連絡先、受信者への削除依頼文、対象者の特定方法、公表判断の基準を、インシデント対応手順書に定める。机上演習で定期的に確認する。 |
| 配信リストに載る人の属性が、情報の重みを左右する | 配信リストを属性別に分類し、医療関係者向けなど配慮が必要なリストは、アクセス権限と送信手段を限定して管理する。 |
自組織などでの確認項目
- 自組織で大量の宛先にメールを送る業務では、BCCを使う手入力の方式と、個別送信できる配信システムのどちらを使っているか。切り替えに必要なものは何か。
- 外部宛先が多数のメールを送ろうとしたときに、送信前に警告や保留をかける仕組みが、自組織のメール環境に入っているか。
- 誤送信が起きた際、受信者への連絡、公表の判断、関係機関への報告を誰がどの順で行うか、自組織の手順書で説明できるか。
未解明点
- 同社の公式発表の全文は渡されていない。メールアドレス以外の情報が含まれていたかどうか、発表文でどう説明されているかが分からない。
- 10回に分けた送信の各回で、何件のアドレスが受信者から見える状態だったのか、公表されていない。
- 発生から発表までの対応、受信者への連絡内容、削除依頼の有無、再発防止策が公表されていない。
- メールアドレスが実際に悪用されたかどうかの情報が公表されていない。
出典
- 1日刊薬業（じほう）2025-10-14報道本文確認済
- 2ScanNetSecurity2025-10-24報道本文確認済
- 3ScanNetSecurity2025-10-24報道本文確認済