香川フィルムコミッション（香川県観光協会）でのメール誤リンクによる個人情報の誤送信（登録者1,018名宛）
公表日
香川県観光協会が事務局を置く香川フィルムコミッションで、エキストラ募集メール(登録者1,018名宛)のリンクに誤りがあり、応募した人が氏名・連絡先・年代を誤った連絡先に送信した。実際に送信した人数は、確認できる情報にはない。
対象者は？
2025年10月9日のエキストラ募集案内メールを受け取った登録者(送信先は計1,018名)のうち、誤った応募連絡先に情報を送った人。送信された情報は「氏名・連絡先・年代」と報じられている。これ以外の情報が含まれたかどうかは、確認できる範囲では記載がない。
確認方法は、まだ発表されていません。
何が起きたのか
2025年10月9日の午前9時18分、香川フィルムコミッションは、エキストラ・ボランティアの登録者1,018名に、募集案内のメールを一斉に送りました。このメールにある応募連絡先メールアドレスのリンクに誤りがあり、参加を希望した人が、誤った応募連絡先に氏名・連絡先・年代を送ってしまいました。香川県観光協会は10月16日にこの件を発表し、10月28日にScanNetSecurityが報じました。
なぜ起きたのか・なぜ広がったのか
報道によると、原因はメール内の応募連絡先メールアドレスのリンクに誤りがあったことです。誤りが生じた理由や、すぐに訂正されなかった理由は、まだ発表されていません。
いまの状況2025-10-28 時点続報待ち
2025-10-28時点で、実際に情報を送った人数、誤った宛先の管理者、対応の内容、再発防止策は、まだ発表されていません。調査中の事案として扱われています。
企業として考えたいこと
自社が顧客や応募者に一斉送信するメールで、リンクや連絡先が正しいことを、送信前に誰がどう確かめていますか。
技術的な要約
公益社団法人香川県観光協会は2025年10月16日、同会に事務局を置く香川フィルムコミッションでの個人情報流出を発表した。10月9日午前9時18分、エキストラ・ボランティア登録者計1,018名にエキストラ募集案内メールを一斉送信したが、応募連絡先メールアドレスのリンクに誤りがあった。参加希望者が誤った応募連絡先に「氏名・連絡先・年代」を送信したというものである。ScanNetSecurityは10月28日に本件を報じ、誤送信に分類している。誤送信された件数など、公表された範囲で確認できない点がある。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明報道・研究者外部からの侵入ではなく、一斉送信メール内の応募連絡先メールアドレスのリンクの誤りにより、参加希望者が誤った応募連絡先に情報を送信した事案。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし
- データ
- 確定上限 —確定 —氏名電話メールその他参加希望者が誤った応募連絡先に「氏名・連絡先・年代」を送信した。メール送信先の登録者は計1,018名だが、実際に誤送信した人数は参照した情報からは不明。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
公表されている事案の経緯 事実
香川県観光協会は10月16日、事務局を置く香川フィルムコミッションでの個人情報流出について発表した。報道によると、10月9日午前9時18分に、エキストラ・ボランティア登録者計1,018名へエキストラ募集案内のメールを一斉送信した。このメールの応募連絡先メールアドレスのリンクに誤りがあり、参加希望者が誤った応募連絡先に「氏名・連絡先・年代」を送信したという。ScanNetSecurityは10月28日に本件を報じ、同媒体の10月の情報漏えい事故の原因別一覧では「誤送信」に分類されている。なお1,018名はメールの送信先となった登録者数であり、実際に情報を送った人数ではない。
情報が意図しない宛先に届いた仕組み(解釈) 解釈
公表された範囲では、外部からの侵入やマルウェアに関する記述は見当たらない。報道が示すのは、一斉送信メール本文の応募連絡先のリンクが誤っており、受け取った人が案内どおりに操作した結果、入力した情報が意図しない宛先に届いたという流れである。つまり、組織が保有するデータベースが外部に持ち出されたのではなく、応募者が送った情報の行き先が誤っていた構造だと読める。ただしこれは報道の文面からの推測である。誤った宛先を誰が管理しているのか、第三者が実際に受け取ったのかは、いまの情報では分からない。
影響範囲の読み方と現時点で判断できないこと(解釈) 解釈
影響を受けた人数は、公表内容から確認できない。送信先1,018名のうち、誤ったリンクを使って応募した人が対象になると考えられるが、その人数は示されていない。そのため、1,018名をそのまま流出件数として扱うことは避けるべきである。また、発表上の「個人情報流出」という表現と、報道側の「誤送信」という分類は言い方が異なる。ただし、どちらも誤った宛先に情報が届いた点を指していると考えられる。送信前にリンクの動作確認が行われたか、誤りがいつどのように分かったかは、現状の情報では判断できない。
対応
- 封じ込め
- —
- 公表の仕方
- 公益社団法人香川県観光協会が2025年10月16日に、香川フィルムコミッションでの個人情報流出として発表した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 一斉送信メールのリンクや連絡先は、送信前に実際の動作まで確認する必要がある。 | 本番と同じ内容のテストメールを検証用アドレスに送り、本文中のmailto・URLをすべてクリックして宛先を確認する。確認結果は送信前チェックリストに記録し、2名以上の承認を送信の条件にする。 |
| 個人情報の受付をメール本文のリンク頼みにすると、リンクの誤りがそのまま情報の誤送信につながる。 | 応募の受付は、組織が管理するHTTPSの入力フォームに一本化する。メールには管理下のフォームURLのみを載せ、送信先ドメインを許可リストで検証する。 |
| 誤りが分かったときに、速やかに訂正と周知ができる手順が必要になる。 | 誤リンク発覚時の手順を定めておく。具体的には、受信窓口の停止または転送設定、訂正メールのテンプレート、誤った宛先への削除依頼、対象者の特定方法を文書化し、年1回は机上訓練をする。 |
| 募集時に集める個人情報の項目が多いほど、誤送信時の影響が大きくなる。 | 応募時に求める項目を必要最小限に絞り、年代など不要な項目は後段の手続きで取得する。フォームの保存期間と閲覧権限も定め、取得項目の棚卸しを定期的に行う。 |
自組織などでの確認項目
- 自組織が一斉送信するメールで、本文中のリンクやメールアドレスは、送信前に誰がどの方法で確認していますか。
- 自組織の募集・問い合わせ受付で、個人情報をメールで受け取っている業務はありますか。入力フォームなど管理下の窓口に置き換えられるものはどれですか。
- 受付窓口の誤りが後から分かった場合、対象者の特定、訂正連絡、誤った宛先への対応を、誰がどの順で行うか決まっていますか。
未解明点
- 実際に誤った応募連絡先へ情報を送信した人数は、まだ公表されていない。
- 誤った宛先を誰が管理しており、情報が第三者に渡ったかどうかは、確認できていない。
- 誤りに気づいた時期と経緯、訂正連絡や対象者への案内の内容は、確認できていない。
- 再発防止策や、個人情報保護委員会など当局への報告の有無は、確認できていない。
出典
- 1ScanNetSecurity2025-10-28報道本文確認済
- 2ScanNetSecurity（株式会社イード）2025-10-28報道本文確認済