敷島パークマネジメントJVのメール誤送信（関係事業者のメールアドレス44件が漏洩）
公表日
群馬県立敷島公園の指定管理者が、関係事業者あてのメールを誤ってTo欄で送り、メールアドレス44件が受信者に見える状態になった。
対象者は？
出店・出展募集案内などを受け取った関係事業者のうち、メールアドレス44件（法人・団体7件、個人37件）。43件は3月5日と4月8日の2回送信されていた。公表されているのはメールアドレスで、それ以外の情報が含まれたかは公表に記載がない。
公表によれば、全受信者に電話及びメールで謝罪と削除依頼が行われている。詳しくは県の公表資料を見る。
いますぐできること
- 該当のメールを受け取った方は、他の人のアドレスが見えるメールを削除する。
- 見覚えのない不審なメールが届いたら、開かずに慎重に扱う。
何が起きたのか
2026年4月8日、指定管理者が自主事業の出店募集案内を43件の関係事業者に送った。このとき、宛先を見えなくするBcc欄で送るべきところ、誤ってTo欄で一斉送信した。受信者からの連絡で誤りが分かった。4月9日に過去の送信メールを調べたところ、3月5日にも同様の誤送信があったことが分かった。漏洩したメールアドレスは44件で、うち43件は2回送られていた。
なぜ起きたのか・なぜ広がったのか
原因は、Bcc欄で送るべきところをTo欄で送ったことと公表されている。それ以上の原因や、3月の誤りに気づけなかった理由は、まだ発表されていません。
いまの状況2026-04-14 時点
指定管理者は4月8日と4月10日に全受信者へ謝罪と削除依頼をし、承諾を得た。現時点で個人情報の拡散や不正利用は確認されていない。県は4月14日に公表し、指定管理者に複数名でのチェックなどを指導した。補償については、まだ発表されていません。
企業として考えたいこと
自社で社外の多数に一斉メールを送るとき、宛先が相手に見えてしまう誤りを、人の注意だけでなく仕組みで防げていますか。
技術的な要約
群馬県立敷島公園の指定管理者である敷島パークマネジメントJVが実施する自主事業で、関係事業者あてのメールを誤送信する事案が発生した。2026年4月8日、Bcc欄で送信すべきところ誤ってTo欄で一斉送信し、受信者からの連絡で判明した。過去のメールを確認したところ、3月5日送信分でも同様の誤送信が見つかった。一部個人情報を含むメールアドレス44件（うち43件は2回誤送信）が受信者に漏洩し、内訳は法人・団体7件と個人37件である。全受信者に謝罪と削除依頼を行い承諾を得ており、現時点で個人情報の拡散および不正利用は確認されていない。県は指定管理者に再発防止を指導した。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 内部者公表で確認外部からの侵入ではない。関係事業者あての電子メール送信時に、Bcc欄で宛先非表示にて送信すべきところ、誤ってTo欄にて一斉送信した人為的ミス。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし
- データ
- 確定上限 44確定 44件メールメールアドレス44件が受信者に漏洩（うち43件は2回誤送信）。法人・団体の企業メールアドレス7件と個人のメールアドレス37件が混在。現時点で個人情報の拡散および不正利用は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-03-05
- 2026-04-08
- 2026-04-08
- 2026-04-08
- 2026-04-09
- 2026-04-10
- 2026-04-14
- 2026-04-14
技術解説
公表された事案の経緯 事実
群馬県立敷島公園の指定管理者である敷島パークマネジメントJVが実施する自主事業で、関係事業者あてのメールを誤送信する事案が発生した。2026年4月8日、電子メールをBcc欄で宛先非表示にて送信すべきところ、誤ってTo欄で一斉送信した。この日は自主事業に伴う出店（出展）募集案内を43件の関係事業者あてに送信しており、メール受信者からの連絡で誤送信の事実を確認した。4月9日に過去の送信メールを確認したところ、3月5日（木）にも44件（うち43件は4月8日と同一事業者）の誤送信が確認された。公表資料には、脆弱性や外部からの侵入に関する記載は無い。
漏洩した情報の範囲と事業者への対応 事実
公表では、一部個人情報を含むメールアドレス44件が受信者に対して漏洩したとされている。このうち43件は2回誤送信されており、法人・団体の企業メールアドレス7件と個人のメールアドレス37件が混在していた。対応として、4月8日に全メール受信者へ謝罪と削除依頼の電話及びメールを送信し、承諾を得た。3月5日分の判明後の4月10日には、確認された全受信者に再度謝罪と削除依頼の電話及びメールを送り、承諾を得た。現時点で個人情報の拡散および不正利用は確認されていないと公表されている。
県の公表と再発防止の指導 事実
2026年4月14日、群馬県が報道提供資料「個人情報の誤送信事案の発生について」として事案を公表した。県は指定管理者に対し、複数名に宛てたメール送信前に複数職員でチェックを徹底することと、メールソフトでの送信方法のルールを周知徹底することを指導した。あわせて、研修等を通じて個人情報に関する正しい理解の促進と知識の習得を図ること、個人情報の厳正な管理と情報セキュリティ対策の徹底を指導した。公表された再発防止策は、いずれもこの指導の内容である。
同じ誤りが繰り返された構造（解釈） 解釈
3月5日分は、4月8日の事案を受けて過去の送信メールを確認するまで判明しなかった。公表からは、最初の誤送信が受信者や送信側に気づかれたかどうかは読み取れない。そのため、誤送信を送信側の仕組みで検知できていなかった可能性がある。また、同じ事業者群への案内が定期的に送られるなら、同じ手順で同じ誤りが再現しやすい。Bcc欄の使い分けのように、担当者の注意に頼る運用では、一度ミスが出ると繰り返しに気づくのが遅れる。今回の対象は個人のアドレスが多数を占めており、規模は小さくても、宛先リストの性質が影響の中身を左右する。ただし、これらは公表内容からの推測であり、実際の運用や原因の詳細は公表されていない。
対応
- 封じ込め
- 4月8日に全メール受信者へ謝罪と削除依頼の電話及びメールを送信し承諾を得た。4月10日、確認された全受信者に再度謝罪と削除依頼を行い承諾を得た。
- 公表の仕方
- 2026年4月14日、群馬県が報道提供資料「個人情報の誤送信事案の発生について」として公表した。現時点で個人情報の拡散・不正利用は確認されていないとしている。
- 当局対応
- 群馬県（指定管理者に対し、複数名宛メール送信前の複数職員によるチェック徹底、メールソフトでの送信方法ルールの周知徹底、研修等による個人情報の理解促進、個人情報の厳正管理と情報セキュリティ対策の徹底を指導）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| Bcc欄の使い分けという個人の注意だけに頼る運用は、同じ誤りを繰り返しやすい。 | 複数宛先への一斉送信はメーリングリスト配信ツールや一斉配信サービスに移し、受信者同士にアドレスが見えない個別送信を既定にする。 |
| 複数職員によるチェックは有効だが、手作業のままでは抜けが出る。 | メールゲートウェイやメールクライアントで、To/Cc欄の外部宛先が一定数を超えたら送信を保留または警告するDLPルールを設定する。 |
| 誤送信が見つかったとき、過去の同種送信まで確認しないと被害範囲を取りこぼす。 | インシデント対応手順に、同一テンプレート・同一宛先リストの過去送信を送信ログから洗い出す横展開確認を必須項目として入れる。 |
| 個人アドレスと法人アドレスが混在する宛先リストは、影響の見積もりを難しくする。 | 宛先リストに種別（個人/法人）と取得経路の項目を持たせ、一斉送信前に件数と種別を確認できるようにする。 |
| 今回は受信者からの連絡で初めて誤送信が判明した。 | 送信側でも送信済みメールを定期的に抽出し、To欄に外部アドレスが複数あるものを検出するレポートを作る。受信者向けの連絡窓口も明示する。 |
自組織などでの確認項目
- 自組織で外部の複数宛先に一斉メールを送るとき、Bcc欄に頼らず誤りを防ぐ仕組み（配信ツールや送信前警告）は入っていますか。
- 過去の送信メールのうち、同じ宛先リストへ送ったものを、送信ログからすぐ洗い出せますか。
- 宛先リストに個人のメールアドレスが含まれているか、含まれる件数を担当者以外も把握できますか。
未解明点
- 3月5日の誤送信は、4月8日の事案まで誰からも指摘されなかったのか。公表資料には書かれていない。
- 誤送信の原因となった具体的なメールソフトや送信手順、再発防止策の実施時期は公表されていない。
出典
- 1群馬県2026-04-14公式本文確認済
- 2群馬県 県土整備部 都市整備課2026-04-14公式本文確認済