埼玉県金融広報委員会のメール誤送信（宛先7名分のアドレス表示）
公表日
埼玉県金融広報委員会が、県内のJ-FLEC認定アドバイザー等7名あてに事務連絡メールを一斉送信した際、誤って他のアドバイザーのメールアドレスが表示されました。
対象者は？
2025年10月2日9時18分に送られた事務連絡メールの宛先となった、県内のJ-FLEC認定アドバイザー及びその他のJ-FLEC講師7名分です。表示されたのはメールアドレスで、ほかの情報が含まれていたかどうかは発表されていません。
県は、メールアドレスが表示された送信先に電話とメールでお詫びと連絡をしたと発表しています。連絡を受けていない場合の確認方法は発表されていません。
何が起きたのか
2025年10月2日の朝、埼玉県金融広報委員会が事務連絡のメールを7名分、一斉に送りました。このとき、他のアドバイザーのメールアドレスが表示される事故が起きました。10月14日に、送信先の1名から指摘があり、事故が分かりました。県は翌15日に公表し、表示された送信先に電話とメールでお詫びをして、メールの削除を依頼しました。
なぜ起きたのか・なぜ広がったのか
アドレスが表示された詳しい原因は、まだ発表されていません。
いまの状況2025-10-15 時点
2025年10月15日の発表の時点で、個人情報が第三者に不正に使われた事実は確認されていないとされています。県は再発防止のため、メール送信時に複数人で確認することを徹底するなど、チェック体制を強化するとしています。
企業として考えたいこと
あなたの会社で、取引先や会員など複数の外部の人にメールを一斉送信するとき、宛先が互いに見えない状態になっているかを、送る前に誰かが確認する仕組みはありますか。
技術的な要約
2025年10月2日9時18分、埼玉県金融広報委員会（事務局：消費生活支援センター）が、県内のJ-FLEC認定アドバイザー及びその他のJ-FLEC講師あてに事務連絡メールを一斉送信（7名分）した際、誤って他のアドバイザーのメールアドレスが表示される事故が発生した。送信先の1名から10月14日に指摘があり判明した。現在のところ個人情報の第三者による不正使用等の事実は確認されていない。表示されてしまった送信先に電話・メールでお詫びし、メールの削除を依頼した。再発防止として複数人による確認を徹底するなどチェック体制を強化する。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認外部からの侵入ではなく、一斉送信メールで他のアドバイザーのメールアドレスが表示された誤送信。侵入口に当たるものはない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし
- データ
- 確定上限 7確定 —人メール一斉送信の宛先は7名分。誤って他のアドバイザーのメールアドレスが表示された。第三者による不正使用等の事実は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2025-10-02 09:18
- 2025-10-14
- 2025-10-15
- 2025-10-15
技術解説
事案の経緯と判明のきっかけ 事実
2025年10月2日（木）9時18分、埼玉県金融広報委員会（事務局：消費生活支援センター）が、県内のJ-FLEC認定アドバイザー及びその他のJ-FLEC講師あてに事務連絡メールを一斉送信した。宛先は7名分で、この際、誤って他のアドバイザーのメールアドレスが表示される事故が発生した。送信先となっていた1名から10月14日に指摘があり、事故が判明した。発生から判明までは、公表された日付の上で12日である（10月2日から10月14日）。県は、現在のところ個人情報の第三者による不正使用等の事実は確認されていないと公表している。表示されたのはメールアドレスで、宛先は7名分である。
県の対応と再発防止策 事実
県は、メールアドレスが表示されてしまった送信先に対し、電話とメールでお詫びをするとともに、先に送信した一斉送信メールの削除を依頼した。再発防止策として、メール送信時に複数人による確認を徹底するなどチェック体制を強化するとしている。公表は2025年10月15日付で、埼玉県の公式サイトに掲載され、PDF資料も公開されている。公表文書は、個人情報の第三者による不正使用等の事実は現在のところ確認されていないと記している。判明の翌日に公表された点も、公表された日付から確認できる。
誤送信が起きる構造（推測を含む） 解釈
公表文は、アドレスが表示された仕組み、たとえば宛先欄の種類や送信ツールの設定を明らかにしていない。そのため原因は断定できない。一般論としては、少人数向けの事務連絡では、手作業で宛先を入力する運用や、他の業務と同じ手順の繰り返しの中で、宛先の扱いの確認が個人の注意に頼りやすい。県が再発防止策として複数人確認を挙げていることは、送信前の確認が一人で行われていた可能性を示唆するが、これは推測にとどまる。技術的な制御と手順の両面から見直す余地があると考えられる。
公表内容の評価と検知の特徴（解釈） 解釈
本件は外部からの攻撃ではなく、組織内の送信操作に起因する事案として公表されている。発覚が受信者からの指摘によるものであり、組織側の仕組みで事前に気づいたわけではない点は、検知を受信者に頼る構造の弱さを示す例と読める。一方、判明の翌日に公表し、対象者へ電話とメールで連絡して削除を依頼した点は、速やかな対応として評価できる。ただし、公表からは原因の詳細や、削除依頼の完了確認、表示されたアドレスの範囲といった点は読み取れない。公表の限られた範囲から評価している。
対応
- 封じ込め
- メールアドレスが表示されてしまった送信先に電話・メールでお詫びし、先に送信した一斉送信メールの削除を依頼した。
- 公表の仕方
- 2025年10月15日付で埼玉県が公式サイトに掲載（PDF資料あり）。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 一斉送信で宛先が互いに見える状態になると、少人数でも個人情報の漏えいになる。 | メール配信システムや配信リストを使い、受信者ごとに個別送信する。手作業で送る場合も、宛先が相互に見えない形式をテンプレートの既定にする。 |
| 送信前の確認が個人の注意に頼ると、見落としが残る。 | 複数人確認を送信手順に組み込み、宛先の種類と件数を確認するチェックリストを使う。承認が済むまで送信できない運用にする。 |
| 誤送信が受信者の指摘で初めて判明すると、気づくまでに時間がかかる。 | 外部宛の一斉送信は送信控えを自分宛にも残し、送信直後に宛先欄の表示を確認する。外部からの指摘を受ける窓口と社内連絡手順を決めておく。 |
| 誤送信が起きたときは、対象者へ連絡して削除を依頼する手順が必要になる。 | 対象者への連絡文面、削除依頼の方法、完了確認の記録方法を、インシデント対応手順に事前に定めておく。 |
| 外部宛メールの宛先に関する誤りは、技術的な制御で減らせる。 | メールゲートウェイやDLPで、外部宛メールの宛先数が閾値を超える場合に警告または保留する設定を入れる。 |
自組織などでの確認項目
- 自組織で外部の複数人にメールを一斉送信するとき、宛先が互いに見えない形式を既定にする仕組みや手順はあるか。
- 自組織の一斉送信で、送信前に複数人が確認する手順はあるか。確認する項目は決まっているか。
- 自組織でメールの誤送信が起きたとき、気づく経路は何か。受信者からの指摘を受けた場合の連絡先と対応手順は文書化されているか。
未解明点
- メールアドレスが表示された具体的な仕組み（宛先欄の種類や送信ツールの設定など）は公表されていない。
- 7名の宛先のうち、何名分のアドレスが表示されたか、実際に表示された範囲は公表されていない。
- 先に送信したメールの削除依頼が完了したかどうかは公表されていない。
- 再発防止策の具体的な内容や実施時期は、複数人確認の徹底以外には公表されていない。
出典
- 1埼玉県2025-10-15公式本文確認済
- 2埼玉県2025-10-15公式本文確認済