神奈川県委託事業「北斎たんけん隊 2025 in 湘南国際村」でのメール誤送信（メールアドレス42名分流出）
公表日
神奈川県が委託したイベント「北斎たんけん隊 2025 in 湘南国際村」で、運営を受託した事業者が参加確定メールを送った際、宛先の設定を誤りました。その結果、合計42名分のメールアドレスが他の受信者から見える状態になりました。
対象者は？
「北斎たんけん隊 2025 in 湘南国際村」の各プログラムに申し込み、2025年11月30日に参加確定メールを受け取った方のうち42名です。公表で流出したとされているのはメールアドレスだけで、氏名や電話番号などほかの情報が流出したとはされていません。
2025年11月30日の14時57分から15時23分ごろに届いた参加確定メールの宛先欄に、他の人のメールアドレスが並んでいないか確認してください。対象の方には、同じ日に受託事業者から謝罪と削除依頼のメールが送られています。
いますぐできること
- 対象の方は、受託事業者からの依頼に沿って、他の人のアドレスが載った参加確定メールを削除してください。
- 心当たりのない相手からのメールや、イベント関係者を名乗る不審なメールに注意してください。
何が起きたのか
2025年11月30日（日曜日）の14時57分から15時23分にかけて、イベント運営を受託している学校法人服部学園 OCHABI artgymが、申込者に参加確定のメール9件を送りました。その際、本来は他の人に見えない「BCC」欄に入れるはずの送り先アドレスを、誰からも見える「宛先」欄に入れていました。送った後で受託事業者が誤りに気付いて県に報告し、42名分のメールアドレスが見える状態になっていたことが分かりました。県は翌12月1日に公表しました。
なぜ起きたのか・なぜ広がったのか
県の説明では、メールを送るときに宛先を複数人で確認しなかったことが原因です。外部からの攻撃ではなく、送り先の入力欄を取り違えたことによるものです。
いまの状況2025-12-01 時点
受託事業者は発生当日のうちに42名へメールで謝罪し、受け取ったメールの削除を依頼しました。県は受託事業者に対し、個人情報を厳しく管理することと、メールを送るときに複数人で確認することを徹底するよう強く指導し、再発防止を図るとしています。その後の状況はまだ発表されていません。
企業として考えたいこと
あなたの会社や委託先は、お客様や参加者にまとめてメールを送るとき、BCCへの手入力に頼らずに送れる仕組みを持っていますか。
技術的な要約
神奈川県が委託する「北斎たんけん隊 2025 in 湘南国際村」で、受託事業者の学校法人服部学園 OCHABI artgymが2025年11月30日14時57分から15時23分の間に参加確定メール9件を送信した。送信相手のアドレスをBCC欄に入れるべきところ宛先欄に入力したため、受信者が他の受信者のアドレスを見られる状態になった。流出したのは合計42名分の個人メールアドレスである。受託事業者が誤りに気付いて県に報告し、同日中に42名へ謝罪と受信メールの削除依頼を行った。県は2025年12月1日に公表し、受託事業者に複数人確認の徹底を指導するとした。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認外部からの侵入ではない。公表によると、送信相手のメールアドレスをBCC欄に入力すべきところ、誤って宛先欄に入力した。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし
- データ
- 確定上限 42確定 42人メール公表上は合計42名分の個人メールアドレス。参加確定メール9件の受信者間で相互に閲覧できる状態になった。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 県の委託を受けた受託事業者（学校法人服部学園 OCHABI artgym）がメール送信時に誤り、県が公表した。
時系列
- 2025-11-30 14:57受託事業者が参加確定の電子メール9件の送信を開始（15時23分まで）。宛先をBCCでなく宛先欄に入力した。1
- 2025-11-30 15:23参加確定メール9件の送信が完了。1
- 2025-11-30受託事業者が送信メールを確認して誤りに気付き、県に報告。メールアドレスの流出が判明した。1
- 2025-11-30受託事業者が42名にメールで謝罪し、受信メールの削除を依頼した。1
- 2025-12-01県が「委託事業者によるメールアドレスの流出について」を公表した。1
- 2025-12-01県が受託事業者に対し、個人情報の厳格な管理とメール送信時の複数人確認の徹底を強く指導し、再発防止を図ると表明した。1
技術解説
公表された事実関係 事実
神奈川県が委託する「北斎たんけん隊 2025 in 湘南国際村」で、受託事業者の学校法人服部学園 OCHABI artgym（東京都千代田区）は、令和7年（2025年）11月30日（日曜日）14時57分から15時23分の間に、イベントの各プログラム申込者へ参加確定の電子メール9件を送った。このとき、送信相手のメールアドレスをBCC欄に入れるべきところを、誤って宛先欄に入れていた。そのため、受信者は他の受信者のメールアドレスを見られる状態になった。流出したのは合計42名分の個人メールアドレスである。受託事業者は送信後にメールを見直して誤りに気付き、県に報告した。これで流出が分かった。同じ日のうちに、受託事業者は42名へメールで謝罪し、受け取ったメールの削除を頼んだ。県は12月1日に公表した。原因は、メール送信の際に宛先を複数人で確認しなかったことと説明している。
誤送信の構造：手作業の宛先入力と分割送信 解釈
公表文では、9件の送信について「BCC欄に入力すべきところ、誤って宛先欄に入力」したとまとめて書かれている。このため、約26分間に送った複数のメールで同じ入力の誤りが繰り返された可能性がある。ただし、9件すべてで誤ったのか、一部だけなのかは書かれていない。メールがプログラムごとに分けて送られていたとすれば、1件ごとに見える範囲は同じメールの受信者どうしに限られていたと考えられる。一方で、42名のうち誰が何名分のアドレスを見られたのかは公表されていない。BCCを手で入力する運用では、欄を1つ間違えるだけで流出が起き、送信ボタンを押した後は取り消せない。送る前に気付けたかどうかは、担当者の注意と確認手順にほぼ全面的に頼っていたことになる。
委託関係と初動・公表の評価 解釈
この事案では、県が個人情報の取扱いを含む事業運営を外部に委託しており、誤送信を起こしたのも受託事業者である。それでも県は、委託元として自らの名前で公表している。受託事業者は送信後に自分で誤りに気付き、当日のうちに県への報告、42名への謝罪、削除依頼まで済ませた。県は翌日に公表しており、発生から公表までの間隔は短い。発生日が日曜日だったにもかかわらず、当日中に報告と連絡が行われた点は、委託先から委託元への報告経路が機能していたことを示すと考えられる。一方、削除依頼は受信者の協力に頼る措置で、実際に削除されたかを確かめる手段については公表で触れられていない。
再発防止策の性質 解釈
県が示した再発防止策は、受託事業者に対して個人情報の厳格な管理と、メール送信時の複数人確認の徹底を強く指導するというものである。複数人での確認は有効な手段の一つだが、人による確認なので、急いでいるときや休日で人手が少ないときには形だけになりやすい。宛先欄に外部アドレスが複数入ったら警告や送信保留をかける仕組みや、一斉送信ツールの利用といった、手作業そのものを減らす技術的な対策は公表文に書かれていない。委託契約で個人情報の扱いについてどこまで具体的な手順を求めていたのかも示されておらず、委託元としての管理のあり方は今後の検討事項と言える。
対応
- 封じ込め
- 発生当日の2025年11月30日、受託事業者から42名にメールで謝罪し、受信したメールの削除を依頼した。
- 公表の仕方
- 2025年12月1日に神奈川県が「委託事業者によるメールアドレスの流出について」として公表した。原因はメール送信の際に宛先について複数人での確認を怠ったこと。県は受託事業者に個人情報の厳格な管理と複数人確認の徹底を強く指導し、再発防止を図るとした。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| BCCへの手入力に頼る一斉連絡は、欄を1つ間違えるだけで受信者全員にアドレスが見えてしまう。 | 複数の外部宛先への連絡は、配信ツールや差し込み送信（1通ずつ個別に送る方式）で行い、メールクライアントでBCCに手入力する運用はやめる。 |
| 人による複数人確認は、休日や急ぎのときに形だけになりやすい。 | メールゲートウェイやクライアントのアドオンで、TO/CCに社外ドメインのアドレスが一定数以上あれば警告を出すか送信を保留する。あわせて、数分間の送信遅延（取り消し猶予）を設定する。 |
| 委託先の誤りでも、委託元が公表と説明の責任を負う。 | 委託契約や仕様書に、個人情報を含む連絡の送信方法（一斉送信ツールの利用、BCCの禁止など）、事故報告の期限、報告先を具体的に書く。着手前に委託先の手順書を確認する。 |
| 同じ作業を何回も繰り返すと、最初の誤りがそのまま全件に広がる。 | 分割して送るときは、1通目を送った直後に送信済みメールのヘッダを確認するチェックポイントを手順に入れる。誤りがあれば残りの送信を止める。 |
| 受信者への削除依頼は、相手の協力に頼る措置である。 | 誤送信時の対応テンプレート（謝罪文、削除依頼、問い合わせ窓口、報告ルート）を前もって用意し、当日中に連絡できる体制を休日も含めて決めておく。 |
自組織などでの確認項目
- 自組織や委託先で、イベント参加者や顧客など複数の外部宛先にメールを送るとき、BCCへの手入力ではなく配信ツールや個別送信を使っているか。
- メールシステムに、TO/CCに社外アドレスが多く入っている場合の警告、送信保留、送信取り消しの猶予などの仕組みが入っているか。
- 個人情報を扱う業務の委託契約に、送信方法の指定、事故時の報告期限・報告経路、再発防止策の報告義務が書かれているか。
- 休日や担当者が1人しかいないときでも、送信前の確認手順と誤送信時の当日対応が回る体制になっているか。
未解明点
- 9件のメールのうち何件で宛先欄に入力する誤りがあったのか。また、各受信者が何名分のアドレスを見られたのか（42名の内訳）。
- 受信者による削除がどこまで進んだか、二次被害（迷惑メールなど）の報告があるか。
- 委託契約で個人情報の取扱いやメール送信方法について、どのような条件が定められていたか。
- 複数人確認のほかに、送信ツールの導入など技術的な再発防止策が取られたか。
出典
- 1神奈川県2025-12-01公式本文確認済