スポーツクラブNASのメール誤送信による個人情報漏えい（法人会員2,029人）
公表日
スポーツクラブNASで、法人会員の月次報告メールが2025年6月から10月にかけて計5回、本来の送り先ではない個人に誤送信され、法人会員2,029人分の個人情報が漏えいした。
対象者は？
スポーツクラブNASの法人会員のうち2,029人。含まれる情報は法人名称、会員氏名、カナ氏名、生年月日、年齢、年代、性別、住所、電話番号（一部の5名）、その他会員情報。口座情報、クレジットカード番号、暗証番号は含まれないと公表されている。
漏えいが確認された方には、同社から郵便で個別に連絡があるとされている。公式のお知らせもあわせて確認できる。
いますぐできること
- 同社から郵便の連絡が届いていないか確認する。
- 不明な点は、同社が設けた専用窓口（コールセンター）に問い合わせる。
- 心当たりのない連絡や郵便物が届いたときは、内容をすぐに信用せず、同社の公式な窓口で確かめる。
何が起きたのか
同社は、法人会員の月ごとの利用実績を、会員が所属する企業や団体にメールで送っていた。2025年6月6日の午前9時ころ、社員が宛先のメールアドレスを入力し間違え、企業の担当者ではなく個人の方に送ってしまった。同日の夜10時ころ、その方からの指摘で気付き、謝罪して削除をお願いした。ところがその後も同じ個人への誤送信が続き、6月6日から10月6日までに計5回となった。10月25日に再び指摘を受けて、続いていたことが分かった。10月28日には役員が電話で謝罪し、添付ファイルは開かれないまま、メールはすべて削除されたことを確認した。同社は11月21日にお詫びと報告を公表した。
なぜ起きたのか・なぜ広がったのか
同社は原因を「メール送信時における宛先およびメールアドレスの確認の不徹底」と公表している。外部からの侵入ではなく、宛先の入力の誤りだったとされる。なぜ5回続いたのかについての詳しい説明は、まだ発表されていません。
いまの状況2025-12-18 時点
誤送信先では、添付ファイルは開かれないまま全メールが削除されたことが確認されており、情報の悪用などの被害は現在のところ確認されていない。同社は、個人情報を含む添付メールの二重確認の義務化、送信承認の仕組みの導入、宛先の自動保存機能の原則停止、A社とのファイルのやり取りをより安全な方法へ移す協議、研修の定期実施を再発防止策として挙げている。漏えいが確認された方には郵便で連絡し、専用窓口も設置している。補償についてはまだ発表されていません。
企業として考えたいこと
あなたの会社で、個人情報を含むファイルを定期的にメールで送っている業務はどれで、1回の誤送信に気付いたとき、同じ誤りが続いていないかを確かめる仕組みはありますか。
技術的な要約
スポーツクラブNAS株式会社は2025年11月21日、法人会員の月次報告メールの誤送信による個人情報漏えいを公表した。2025年6月6日から10月6日にかけて計5回、本来は所属企業（A社）の担当者に送るべき月次報告が個人（B様）に送られ、漏えいした情報は法人会員2,029人分である。誤送信先では添付ファイルは未開封のまま全メールが削除済みと確認され、情報の悪用などの被害は現在のところ確認されていない。
攻撃の分類
- 侵入口
- 不明公表で確認外部からの侵入ではなく、社員によるメール宛先の入力誤り。原因は「メール送信時における宛先およびメールアドレスの確認の不徹底」と公表されている。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし
- データ
- 確定上限 2,029確定 2,029人氏名生年月日性別住所電話その他法人会員のうち2,029人。内訳は法人名称、会員氏名、カナ氏名、生年月日、年齢、年代、性別、住所、電話番号（一部5名）、その他会員情報。口座情報・クレジットカード番号・暗証番号は含まれない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2025-06-06 09:00
- 2025-06-06 22:00
- 2025-06-06当日中にB様へメールで謝罪し、誤送信メールの削除を依頼した。2
- 2025-10-066月6日から計5回にわたり、月次報告がB様に誤送信された（最後の誤送信）。2
- 2025-10-25B様から誤送信が続いている旨の指摘を受け、継続発生していた事実に気付いた。B様へ謝罪と削除依頼をメールで行った。2
- 2025-10-28執行役員がB様に電話で謝罪し、添付ファイルは未開封のまま全メールが削除済みであることを確認した。2
- 2025-11-21
- 2025-11-21漏えいが確認された顧客へ郵便で個別連絡し、専用窓口（コールセンター）を設置した。2
- 2025-12-18ScanNetSecurityが本件を報じた。1
技術解説
誤送信の経緯と継続した期間 事実
同社は法人会員の月次登録実績を添付ファイルとして、会員が所属する企業・団体にメールで送付していた。2025年6月6日9時ころ、社員が送信時にメールアドレスの入力を誤り、所属企業（A社）の担当者ではなく個人（B様）に送付した。同日22時ころ、B様からの指摘で事態に気付き、当日中にメールで謝罪して削除を依頼した。その後も6月6日から10月6日にかけて計5回、本来A社担当者に送るべき月次報告がB様に送られた。10月25日にB様から誤送信が続いている旨の指摘を受け、継続発生していた事実に気付いた。10月28日には執行役員が電話で謝罪し、添付ファイルは未開封のまま全メールが削除済みであることを確認した。11月21日に公式サイトで公表している。
漏えいした情報の範囲と現時点の被害 事実
漏えいした個人情報は法人会員のうち2,029人分で、公表上この数が漏えい人数として示されている。項目は法人名称、会員氏名、カナ氏名、生年月日、年齢、年代、性別、住所、電話番号（一部の5名）、その他会員情報である。口座情報、クレジットカード番号、暗証番号は含まれないと公表されている。誤送信先からは当該メールと添付ファイルをすべて削除したことの確認が取れており、情報の悪用などの被害は現在のところ確認されていないとされる。漏えいが確認された顧客には郵便で個別に連絡し、専用窓口（コールセンター）を設置している。
公表された原因と再発防止策 事実
原因として同社は「メール送信時における宛先およびメールアドレスの確認の不徹底」と公表している。公表されている経緯は、社員による宛先入力の誤りである。再発防止策として、個人情報を含む添付メールの二重確認の義務化、送信承認プロセスの導入、メールアドレスの自動保存機能（オートコンプリート）の原則停止、A社とのファイル授受をよりセキュアな転送方法へ移行する協議、研修の定期実施を挙げている。これらは同社が公表した対策であり、実施状況や効果についての続報は、確認できた範囲ではまだ示されていない。
定期送信で気付きが遅れた構造（解釈） 解釈
初回の誤送信は当日中に気付き、謝罪と削除依頼まで行われたが、同じ宛先への送信はその後約4か月続いた。公表内容からは、初回の対応が個別の削除依頼にとどまり、宛先設定そのものの見直しに結びつかなかった可能性が考えられる。再発防止策にオートコンプリート停止が含まれることから、毎月の定型送信で保存済みのアドレスが再利用された可能性もあるが、公表文書はこの点を明示していないため推測にとどまる。定期送信は担当者の注意に依存しやすく、1回目の気付きを仕組みの修正へつなげる手順があるかどうかが、継続の防止に関わると考えられる。
対応
- 封じ込め
- 誤送信先のB様へ謝罪し、メールと添付ファイルの削除を依頼。添付ファイルは未開封のまま全メール削除済みであることを確認した。再発防止策として、個人情報を含む添付メールの二重確認の義務化、送信承認プロセスの導入、オートコンプリートの原則停止、A社とのファイル授受をよりセキュアな転送方法へ移行する協議、研修の定期実施を挙げている。
- 公表の仕方
- 2025年11月21日に公式サイトでお詫びとご報告を公表。漏えいが確認された顧客には郵便で個別に連絡し、専用窓口（コールセンター）を設置している。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 誤送信に気付いた時点で、個別の削除依頼だけでなく送信設定の点検まで行う必要がある。 | 誤送信インシデントの初動手順に「同一宛先・同一ジョブの定期送信の停止と宛先リスト・送信元設定の確認」を必須項目として加え、確認完了までジョブを止める。 |
| 個人情報を含む添付ファイルは、宛先確認を人の注意だけに頼らない仕組みが要る。 | メールゲートウェイで外部宛の添付を保留し、承認者が宛先ドメインを確認してから送信する承認フローを導入する。宛先ドメインが事前登録リストにない場合は送信をブロックする。 |
| 自動補完や保存済みアドレスは、定型送信で誤った宛先を再利用させる原因になり得る。 | メーラーのオートコンプリートを組織設定で無効化し、定期送信は個人のメーラーではなく宛先を固定した共有アドレスやジョブ設定から行う。 |
| 個人情報を含むファイルをメール添付でやり取りする方式自体を見直す余地がある。 | 取引先とのファイル授受を、アクセス権と有効期限を設定できるファイル共有サービスに移し、ファイルにパスワードを付けて別経路で伝える。送信ログも保存する。 |
| 誤送信が長期間続いても、受信側からの指摘がなければ把握しにくい。 | 定期送信の宛先・件数を月次で突合し、送信先ドメインの一覧を担当者以外の者が確認する。受信確認の返信を取引先に依頼する運用も併用する。 |
自組織などでの確認項目
- 自組織で個人情報を含む定期メール（月次報告など）を送っている業務はいくつあり、宛先は固定リストで管理されているか。
- 誤送信が1回起きたとき、同じ原因で再発していないかを確認する手順と担当者が決まっているか。
- メーラーの宛先自動補完は組織として無効化されているか。外部宛の添付メールを送信前に止める仕組みはあるか。
未解明点
- B様のメールアドレスが宛先に入り続けた具体的な理由（保存済みアドレスの再利用か、送信設定か）は公表されていない。
- 漏えい人数2,029人が5回の送信のうち重複を除いた人数か、延べ人数かは公表文書から読み取れない。
- 再発防止策の実施時期と効果の検証結果は、確認できた範囲では示されていない。
出典
- 1ScanNetSecurity2025-12-18報道本文確認済
- 2スポーツクラブNAS株式会社2025-11-21公式本文確認済