エイチ・アイ・エス（東京都教育庁委託事業受託者）におけるメール誤添付による個人情報漏えい（参加者・保護者各9名分）
公表日
東京都教育庁の委託事業を受託するエイチ・アイ・エスが、イベント参加者10名の保護者へのメールに誤って個人情報のファイルを添付し、参加者と保護者それぞれ9名分の情報が漏えいした。
対象者は？
対象は、東京都教育庁の委託事業のイベントの参加者及び保護者それぞれ9名分です。内容は、参加者の氏名・学年・住所と、保護者の氏名・電話番号・メールアドレスです。メールの送信先は保護者10名でした。公表された項目に、これ以外の情報は挙げられていません。
保護者には、受託者と東京都教育委員会から状況の説明と謝罪、メール削除の依頼と確認が行われています。個別の確認方法は公表されていません。
いますぐできること
- 東京都教育委員会の公式発表で、対象となる情報の範囲を確認する。
- 対象の方は、受託者・都教育委員会から依頼された誤添付メールの削除に対応する。
何が起きたのか
2025年10月29日の午前10時頃、エイチ・アイ・エスが、イベント参加の注意事項などのファイルを参加者10名の保護者にメールで送りました。そのとき、個人情報が入ったリストのファイルを誤って添付していました。同日12時頃、保護者1名からの連絡で気づきました。13時頃から、受託者と都教育委員会が保護者に謝罪し、メールの削除を依頼して確認しました。東京都教育委員会は10月31日に発表しました。
なぜ起きたのか・なぜ広がったのか
メールを送るときに、誤って個人情報を含むリストのファイルを添付したことが原因です。ファイルを取り違えた詳しい経緯や、確認の手順がどうなっていたかは、まだ発表されていません。
いまの状況2025-11-19 時点続報待ち
公表の時点では、二次被害等の報告は受けていないとされています。東京都教育委員会は受託者に、原因の究明と具体的な再発防止策を求め、個人情報の適切な取扱いの徹底を指導するとしています。公表文は2025年11月19日に事故の概要の記載が修正されました。再発防止策の内容は、まだ発表されていません。
企業として考えたいこと
自社でメールに添付するファイルを、送る前に別の人や仕組みで確認する体制はありますか。個人情報を含むファイルは、通常の資料と分けて管理されていますか。
技術的な要約
東京都教育庁の委託事業を受託している株式会社エイチ・アイ・エスが、2025年10月29日10時頃、イベント参加者10名の保護者へ注意事項等のファイルをメール送信する際、誤って個人情報を含むリストのファイルを添付した。同日12時頃に保護者1名からの連絡で発覚し、参加者及び保護者それぞれ9名分の個人情報が漏えいした。漏えいしたのは参加者の氏名・学年・住所と保護者の氏名・電話番号・メールアドレスである。13時頃から受託者と都教育委員会が保護者へ謝罪しメール削除を依頼・確認し、東京都教育委員会は10月31日に発表した。二次被害の報告は受けていないとされ、都教育委員会は受託者に原因究明と再発防止策を求めている。公表文は令和7年11月19日に修正されている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認外部からの侵入ではなく、受託者がメール送信時に誤って個人情報を含むリストのファイルを添付した誤送付である。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 業務停止に関する公表なし
- データ
- 確定上限 9確定 9人氏名住所電話メールその他参加者及び保護者それぞれ9名分。参加者は氏名・学年・住所、保護者は氏名・電話番号・メールアドレス。メール送信先は保護者10名。二次被害の報告は受けていない（公表時点）。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 東京都教育庁の委託事業の受託者（エイチ・アイ・エス）で発生した事故で、委託元である都教育委員会が公表した。
時系列
技術解説
事案の経過 事実
2025年10月29日10時頃、エイチ・アイ・エスはイベント参加にあたっての注意事項等が書かれたファイルを、参加者10名の保護者に電子メールで送信した。その際、誤って個人情報が含まれたリストのファイルを添付して送信した。同日12時頃、保護者のうち1名から受託者に、誤ったファイルが添付されている旨の連絡があり、誤送信が発覚した。13時頃より、受託者が全参加者の保護者に謝罪とメールの削除を依頼し、都教育委員会も保護者に状況を説明の上で謝罪し、メールの削除について確認した。東京都教育委員会は10月31日に、教育庁の委託事業を受託している同社での個人情報漏えいとして発表した。公表文には令和7年11月19日修正の記載がある。
漏えいした情報と規模 事実
都教育委員会の公表によると、受託者がイベントの参加者10名の保護者に電子メールを発出した際、参加者及び保護者それぞれ9名分の個人情報が含まれたファイルを添付した。漏えいした個人情報は、イベント参加者の氏名、学年、住所、および保護者の氏名、電話番号、メールアドレスである。メールの送信先は保護者10名で、個人情報の対象は参加者・保護者それぞれ9名分と記載されている。公表時点で、現在のところ二次被害等の報告は受けていないとされた。都教育委員会は受託者に対し、事故の原因の究明と具体的な再発防止策を求めるとともに、個人情報の適切な取扱いを徹底するよう指導するとしている。
事故の構造（解釈） 解釈
本件は外部からの侵入ではなく、メール送信時に添付ファイルを取り違えた誤送付型の事案と読める。注意事項という通常の連絡と、個人情報を含む内部用リストが同じ作業の中で扱われ、送信前に添付内容を確かめる手順が働かなかった可能性がある。ただし、ファイルの保管方法や確認手順の有無は公表されておらず、ここで述べるのは一般的な見方にとどまる。また、送信先が10名であるのに対し個人情報の対象が9名分である理由も公表文からは分からない。委託事業の受託者で起きた事故を、委託元が公表した点で、委託関係における個人情報管理の事例としても位置づけられる。
対応と公表の見方（解釈） 解釈
発覚から約1時間後には、受託者と都教育委員会が保護者への謝罪とメール削除の依頼・確認を始めており、初動は比較的早いと読み取れる。発覚の端緒が保護者1名からの連絡だった点は、送信側の自動的な検知ではなく受信者の気づきに依存していたことを示唆する。公表は事故の2日後で、影響人数が少ないなかでも委託元が発表している。一方で、公表文に原因の詳細や再発防止策の内容は含まれておらず、受託者自身の公表も確認できない。今後は受託者から提出される原因究明と再発防止策がどう示されるかが、事案の評価で重要になるだろう。なお、評価は公表された範囲に基づく暫定的なものである。
対応
- 封じ込め
- 10月29日13時頃から、受託者が全参加者の保護者に謝罪とメールの削除を依頼し、都教育委員会も保護者に説明・謝罪のうえ削除を確認した。
- 公表の仕方
- 東京都教育委員会が2025年10月31日に「受託者における個人情報の漏えいについて」として公表。令和7年11月19日に概要の記載を修正した。
- 当局対応
- 東京都教育委員会（委託元として受託者に原因究明・再発防止策の提出と個人情報取扱いの徹底を指導）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 社外向けメールでは添付ファイルの取り違えが起こりうる。個人情報を含むファイルが通常の連絡用ファイルと同じ場所にあると、誤添付のリスクが高まる。 | 個人情報を含むリストは配布用ファイルと別の保管場所・アクセス権で管理し、ファイル名に機密区分を付ける。メール送信を行うアカウントからは参照できない領域に置く。 |
| 送信前に添付内容を確認する工程がなければ、人為的な誤りがそのまま外部に出る。 | メールゲートウェイで添付ファイルを一定時間保留する機能や、送信前に添付ファイル名と宛先の確認ダイアログを出す設定を有効にする。個人情報を含むファイルはパスワード付き暗号化や共有リンク化を標準にする。 |
| 複数の保護者に同じ内容を一斉送信する場合、宛先の扱いと添付の確認が不十分だと被害が全員に及ぶ。 | 一斉送信は専用の配信ツールを使い、宛先ごとの個別送信やBCC運用を仕組みで強制する。送信前にテスト送信を行い、2名で添付内容をチェックする運用にする。 |
| 誤送信の発覚が受信者の連絡に依存していると、検知が遅れる。 | DLPで個人情報パターン（氏名・住所・電話番号の並び等）を含む添付ファイルを検知し、社外宛ての送信時に警告・保留する。誤送信発生時の連絡窓口と、削除依頼・確認までの手順書を事前に整備する。 |
| 委託事業では、委託元と受託者の双方が事故対応と公表の役割を把握しておく必要がある。 | 委託契約で事故発生時の報告期限、通知対象、削除確認の方法、原因究明と再発防止策の提出を定め、年1回以上の訓練で手順を確認する。 |
自組織などでの確認項目
- 自組織で、個人情報を含むファイルと、外部に送る通常の資料は、保管場所やアクセス権が分けられているか。
- 社外へのメール送信時に、添付ファイルの内容や宛先を送信前に確認する仕組み（保留・ダイアログ・二重チェック）はあるか。
- 誤送信が起きた場合、誰が何分以内に誰へ連絡し、受信者へ削除依頼と確認を行う手順が文書化されているか。
- 委託先や再委託先が個人情報を扱う場合、事故時の報告期限と原因究明・再発防止策の提出が契約で定められているか。
未解明点
- 誤って添付されたファイルがなぜ通常の連絡ファイルと取り違えられたのか、具体的な原因は公表されていない。
- 受託者から提出される原因究明と再発防止策の内容や、その後の進捗は公表されているか不明である。
- 送信先が10名で個人情報の対象が9名分であった理由は、公表文では説明されていない。
出典
- 1ScanNetSecurity2025-11-26報道本文確認済
- 2東京都教育委員会2025-10-31公式本文確認済