三菱ガス化学の業務委託先T4Cによる個人情報メール誤送信（元従業員2,092名・現従業員1名の氏名・社員番号）
公表日
三菱ガス化学の業務委託先T4Cの従業員が、2026年9月16日に元従業員2,092名と現従業員1名の氏名・社員番号を含む資料を、誤って他社宛てのメールに添付して送信しました。
対象者は？
2005年10月31日から2025年7月31日までに三菱ガス化学を退職した全員（2,092名）と、現従業員1名。資料に含まれていたのは氏名と社員番号です。公表では、それ以外の情報が含まれていたとは書かれていません。
退職者への個別連絡が難しいため、三菱ガス化学は公式のお知らせをもって報告に代えるとしています。公式のお知らせで内容を確認してください。個別の問い合わせ窓口については、まだ発表されていません。
いますぐできること
- 三菱ガス化学の公式お知らせを読み、自分が対象に当たるか確認する。
- 氏名や社員番号を使って本人を装った連絡が来ても、すぐに応じず、相手の身元を確認する。
何が起きたのか
2026年9月16日、三菱ガス化学の人事関連システム導入を手伝っている委託先T4Cの従業員が、業務の資料を他社宛てのメールに誤って添付しました。資料には、退職者2,092名と現従業員1名の氏名と社員番号が入っていました。同じ日に、送信先からの連絡で誤送信が分かりました。T4Cが削除を依頼し、ファイルは開かれないまま削除されたことが同日中に確認されています。10月15日に個人情報保護委員会へ報告し、10月16日に公表されました。
なぜ起きたのか・なぜ広がったのか
委託先の従業員がメールに資料を誤って添付したことが原因と説明されています。資料に退職者全員分の氏名と社員番号がまとまっていたため、対象が多くなりました。なぜその資料がメールで扱われていたのかなど、詳しい経緯は、まだ発表されていません。
いまの状況2026-10-16 時点続報待ち
2026年10月16日時点で、二次流出や不正利用などの二次被害は確認されていないとされています。件数は、個人データが漏れたおそれのある最大2,093名分で、外部に見られたことが確認されたとは公表されていません。再発防止として、T4Cにメールでのファイル送付の原則廃止や送信前確認の徹底を求め、委託先への監督を強めるとしています。補償などについては、まだ発表されていません。
企業として考えたいこと
自分の会社が委託先に渡している従業員や退職者の名簿は、どの範囲まで、どんな方法で受け渡されているでしょうか。
技術的な要約
2026年9月16日、三菱ガス化学の人事関連システム導入の業務委託先T4Cの従業員が、委託業務に関する資料を他社宛ての電子メールに誤って添付して送信した。資料には退職者2,092名と現従業員1名の氏名および社員番号が含まれていた。誤送信は同日中に送信先からの連絡で判明し、T4Cの削除依頼により、ファイルは開封されることなく削除されたことが同日中に確認された。二次流出や不正利用は確認されておらず、10月15日にT4Cおよび同社が個人情報保護委員会へ報告し、10月16日に公表した。退職者への個別連絡が困難なため、お知らせをもって報告に代えるとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 委託先経由公表で確認外部からの侵入ではなく、委託先T4Cの従業員が委託業務に関する資料を他社宛ての電子メールに誤って添付して送信した。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし
- データ
- おそれ上限 2,093確定 —人氏名従業員情報退職者2,092名（2005年10月31日〜2025年7月31日退職の全員）と現従業員1名の合計2,093名を合算（公式は個別に記載）。氏名および社員番号が含まれる。日経は約2000人と報道。個人データの漏えい等が発生したおそれがあるものとして報告。ファイルは開封されず削除され、二次被害は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 業務委託先T4C（人事関連システム導入）の従業員の誤送信により、三菱ガス化学の元従業員などの個人情報が第三者へ送信された。
時系列
- 2026-09-16
- 2026-09-16同日中に送信先からの連絡により誤送信が判明した。1
- 2026-09-16T4Cが送信先へ削除を依頼し、ファイルが開封されることなく削除されたことを同日中に確認した。1
- 2026-09-16三菱ガス化学が同日中にT4Cから報告を受けた。2
- 2026-09-16
- 2026-10-15
- 2026-10-16三菱ガス化学が「当社業務委託先における個人情報を含むメールの誤送信について（お詫び）」を公表した。1
- 2026-10-16退職者への個別連絡が困難なため、本お知らせをもって報告に代えるとした。1
- 2026-10-16日本経済新聞が、元社員など約2000人の個人情報流出として報じた。2
- 2026-10-16
技術解説
何が起きたか（公表内容） 事実
2026年9月16日、三菱ガス化学の人事関連システム導入業務の委託先である株式会社T4Cの従業員が、委託業務に関する資料を他社宛ての電子メールに誤って添付して送信した。資料には、2005年10月31日から2025年7月31日までに退職した全員（2,092名）と、現従業員1名の氏名および社員番号が含まれていた。誤送信は同日中に送信先からの連絡で判明した。日本経済新聞は、元社員など約2000人の個人情報流出として報じている。公表では、原因は委託先従業員による誤添付と説明されている。
対応と公表の経過 事実
T4Cが送信先へ削除を依頼し、ファイルが開封されることなく削除されたことを9月16日中に確認した。現時点で二次流出や不正利用などの二次被害は確認されていないとされる。三菱ガス化学は同日中にT4Cから報告を受け、事実確認などを経て、10月15日にT4Cおよび同社が個人情報保護委員会へ報告した。報告は個人データの漏えい等が発生したおそれがあるものとしてである。10月16日に公表し、退職者への個別連絡が困難なため、お知らせをもって報告に代えるとした。再発防止策として、T4Cにメールによるファイル送付の原則廃止、送信前確認の徹底などを求め、委託先の個人情報取扱状況の確認など監督を強化するとしている。
委託先の業務で個人データが動く構造 解釈
この事案では、外部からの攻撃ではなく、人事システム導入という委託業務の中で扱われた名簿相当の資料が、通常のメール操作の誤りで別の宛先へ渡った。人事システムの移行や導入では、全従業員・全退職者分のデータが委託先の手元に集まりやすい。そのため、1回の誤送信でも対象が約2千人規模になり得る。資料が氏名と社員番号という形で一覧化されていたことが、件数の大きさにつながったと考えられる。ただし、資料をなぜメールで扱っていたか、どの範囲の人が取り扱えたかは公表されておらず、ここは推測にとどまる。
公表内容の見方と残る論点 解釈
被害の拡大が抑えられた点は、送信先からの連絡が早く、削除の確認も当日中に行われたことで説明できる。公表では「おそれ」としており、流出確定とは区別されている点も、数値を扱う上で適切に見える。一方で、誤送信の判明から公表まで約1か月あり、この間に事実確認などが行われたとされるものの、内訳は示されていない。また、退職者への個別連絡が難しいため公表で代える判断は、対象者が自分で気づく手段が公式お知らせに限られることを意味する。再発防止策は委託先向けが中心で、自社側の対策の詳細は今後の説明を待つ段階と考えられる。
対応
- 封じ込め
- T4Cから送信先へ削除を依頼し、ファイルが開封されることなく削除されたことを9月16日中に確認した。二次流出や不正利用などの二次被害は確認されていない。
- 公表の仕方
- 2026年10月16日に公式サイトで公表。退職者への個別連絡が困難なため、お知らせをもって報告に代えるとした。再発防止策として、T4Cに電子メールによるファイル送付の原則廃止、送信前確認の徹底などを求め、委託先の個人情報取扱状況の確認など監督を強化する。
- 当局対応
- 個人情報保護委員会（2026年10月15日にT4Cおよび三菱ガス化学が報告）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先に渡す人事・名簿データは、最小限の項目と範囲に絞る必要がある。 | 委託業務で渡す個人データはテスト用に匿名化・仮名化したものを標準にする。本番データが必要な場合は、対象期間・項目・人数の承認を台帳に残し、不要項目は列ごと削除してから渡す。 |
| メールでのファイル送付は、誤送信が起きやすい経路である。 | 個人情報を含む資料は、メール添付ではなく、アクセス権と有効期限を設定したファイル共有基盤で受け渡す。メールゲートウェイで添付ファイルの暗号化を必須にし、パスワードは別経路で通知する。 |
| 送信前の確認は、人の注意に頼らず仕組みで補う。 | DLPで氏名・社員番号などのパターンを含む添付を検知し、社外宛て送信を保留して上長承認を要求する。送信遅延（取り消し猶予）や、宛先ドメインの許可リスト確認を有効にする。 |
| 誤送信が起きたときに、早く検知して、削除確認まで手順化しておく。 | 誤送信時の連絡先、送信先への削除依頼文面、削除確認の記録様式を委託契約の付属書に定める。発生から発注元への報告期限を時間単位で決め、個人情報保護委員会への報告期限の起算点も合わせて整理する。 |
| 退職者のように個別連絡が難しい対象に備える必要がある。 | 退職者の連絡先の保有期間と更新方法を決め、連絡不能時の代替措置（公式サイトでの公表、問い合わせ窓口の設置）をインシデント対応計画に事前に組み込む。 |
自組織などでの確認項目
- 自組織が委託先に渡している個人データ（従業員・退職者・顧客）について、項目・件数・受け渡し経路を一覧で説明できますか。メール添付で渡しているものはありませんか。
- 委託先で誤送信や紛失が起きたとき、発注元にいつまでに、誰に、どの手段で報告されることになっていますか。契約書や運用手順に明記されていますか。
- 退職者を含む旧データの保有期間は決まっていますか。連絡先が分からない対象者に通知が必要になった場合、どの手段で知らせる想定ですか。
未解明点
- 誤送信の判明（2026年9月16日）から個人情報保護委員会への報告・公表（10月15日・16日）までに行われた事実確認の内容と、約1か月かかった理由は、まだ公表されていない。
- なぜ全退職者分の氏名・社員番号の資料がメールに添付される状況だったのか、また委託先でその資料を扱えた範囲は、公表されていない。
- 送信先が取引先とされるが、その組織との関係や、メールサーバー等に残る複製の削除状況の確認方法は示されていない。
- 現従業員1名および退職者への個別の通知や問い合わせ窓口の有無は、公表の範囲では明らかでない。
出典
- 1三菱ガス化学株式会社2026-10-16公式本文確認済
- 2日本経済新聞2026-10-16報道本文確認済