農林水産省職員の個人情報のメール誤送信（職員・家族4,571人分、マイナンバー含む）
公表日
農林水産省は2026年1月23日、メールの誤送信により、職員とその家族の計4,571人分の個人情報（マイナンバーを含む）が外部のメールサーバに送られたと発表しました。現時点で、悪用された被害は確認されていないとされています。
対象者は？
本省勤務の職員約5000人のうち2593人と、その家族1978人（計4,571人分）です。含まれる情報は、氏名、生年月日、住所、マイナンバー、給与支給金額、源泉徴収税額、保険料等控除情報、家族の氏名・マイナンバー等とされています。これ以外の情報が含まれるかどうかは、まだ発表されていません。
個別の連絡方法や確認方法については、まだ発表されていません。農林水産省のお知らせで最新の情報を確認してください。
いますぐできること
- 農林水産省の公式のお知らせで、最新の情報を確認する。
- 対象に含まれる可能性のある方は、身に覚えのない連絡や請求があったときは、すぐに応じず、まず内容を確かめる。
何が起きたのか
2025年12月23日、担当者が税務関係の事務作業のため、部局ごとにメールで情報の提出を依頼しました。職員の源泉徴収票などの情報を省内で集める際に、提出先として誤ったメールアドレスが示され、情報が外部のメールサーバに送られました。一部のメールが担当者に届かなかったことから、2026年1月19日に分かりました。農林水産省は1月23日にこの事案を公表し、鈴木憲和農相も記者会見で「大変遺憾だ」と述べました。
なぜ起きたのか・なぜ広がったのか
公表された原因は、省内で源泉徴収票に関する情報を集める際に、提出先として誤ったメールアドレスを示したことです。誤ったメールの宛先がどのように決まったか、実際にいつ送られたかは、まだ発表されていません。
いまの状況2026-01-23 時点続報待ち
2026年1月23日の発表の時点で、流出した情報が使われた被害は確認されていません。農林水産省は、関係省庁と連携して引き続き注意を払うとしています。再発防止策として、個人情報の厳重で適正な管理の徹底と職員向けの研修を行い、機微な情報は専用サイトで管理することなども検討するとしています。誤送信先への対応や、本人への通知の方法については、まだ発表されていません。
企業として考えたいこと
自社で、マイナンバーなどの大切な情報をメールで集めている業務はありますか。その提出先の宛先は、配る前に誰かが確認していますか。
技術的な要約
農林水産省は2026年1月23日、令和7年分の給与支払事務に関連し、メールの誤送信により職員およびその家族の個人情報が漏えいしたと発表した。省内で源泉徴収票等の情報を一元化する過程で、提出先として誤ったメールアドレスを示したため、情報が外部のメールサーバへ送信されていた。2025年12月23日に担当者が部局ごとにメールでの情報提出を依頼しており、一部のメールが担当者に届かなかったことから2026年1月19日に発覚した。対象は本省勤務の職員約5000人のうち2593人とその家族1978人の計4,571人分で、氏名、生年月日、住所、マイナンバー、給与支給金額、源泉徴収税額、保険料等控除情報、家族の氏名・マイナンバーなどが含まれる。現時点で不正利用などの二次被害は確認されておらず、再発防止策として機微な情報の専用サイトでの管理や個人情報取扱い研修の実施などが示されている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認外部からの攻撃ではない。公式発表では「提出先として誤ったメールアドレスを提示したことにより外部のメールサーバに送信された」とされている。侵入口に該当するものはなく、誤送信先のメールサーバの管理者や、情報が閲覧・利用されたかは公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 業務停止に関する公表はない。
- データ
- 確定上限 4,571確定 4,571人氏名生年月日住所マイナンバー従業員情報その他内訳は本省勤務の職員約5000人のうち2593人と、その家族1978人（2593+1978=4571）。その他は給与支給金額、源泉徴収税額、保険料等控除情報、家族の氏名・マイナンバー。現時点で不正利用などの二次被害は確認されていないとされる。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先や取引先を経由した事案とは公表されていない。省内の事務手続き上の誤送信である。
時系列
- 2025-12-23税務関係の事務作業に伴い、担当者が部局ごとにメールでの情報提出を依頼した。1
- 2025-12
- 2026-01-19
- 2026-01-23農林水産省が「職員の個人情報の漏えい事案の発生について」を公表した。4
- 2026-01-23
- 2026-01-23鈴木憲和農相が記者会見で「大変遺憾だ。このような事案が発生したことは重く受け止めている」と述べた。1
- 2026-01-23
- 2026-01-23漏えいした情報について、関係省庁と連携をとりながら引き続き注意を払うとされた。4
- 2026-01-26セキュリティ対策Labが本事案を報じた。2
- 2026-02-12ScanNetSecurityが本事案を報じた。3
技術解説
公表された事案の経緯 事実
農林水産省は2026年1月23日、令和7年分の給与支払事務に関し、メールの誤送信により一部職員とその家族の個人情報が漏えいしたと発表した。職員の源泉徴収票等に関する情報を省内で一元化する際、提出先として誤ったメールアドレスを提示したため、外部のメールサーバに送信された。2025年12月23日には、税務関係の事務作業に伴い、担当者が部局ごとにメールでの情報提出を依頼していた。一部のメールが担当者に届かなかったことから、2026年1月19日に漏洩が発覚した。鈴木憲和農相は記者会見で「大変遺憾だ。このような事案が発生したことは重く受け止めている」と述べた。
対象人数と漏えいした情報の範囲 事実
公式発表は対象を「一部職員及びその家族 4,571人分」としている。報道によると内訳は、本省勤務の職員約5000人のうち2593人と、その家族1978人である（2593+1978=4571）。情報は源泉徴収票等に関するもので、氏名、生年月日、住所、マイナンバー、給与支給金額、源泉徴収税額、保険料等控除情報、家族の氏名・マイナンバー等とされる。公式の記載は「等」で終わっており、列挙された以外の項目の有無は公表内容からは分からない。1月23日時点で、流出した情報の活用による被害は確認されていないとされている。
公表された対応と再発防止策 事実
公式発表によると、農林水産省は漏えいした情報について関係省庁と連携をとりながら引き続き注意を払うとし、個人情報の厳重かつ適正な管理の徹底と、職員への個人情報取扱い等の研修の実施で再発防止に努めるとしている。報道では、省内で機微な情報を共有する場合には専用サイトで管理するなどの再発防止策を検討すると伝えられた。一方で、本分析で参照した公表内容の範囲では、誤送信先への削除依頼や削除確認、誤送信の実際の日時、本人への個別通知の方法についての記載は確認できない。これらは公表されていない事項として扱う。
事案の構造：宛先の誤りが一元収集の入口で生じた 解釈
公表内容から読み取れるのは、外部からの攻撃ではなく、情報を集める窓口となる提出先アドレスの誤りが起点になった事案だという点である。複数部局から機微な情報を一か所に集める運用では、案内された宛先が1つ誤っていると、その案内に従った提出がすべて同じ誤った宛先へ向かう。この構造が、対象を2593人の職員と1978人の家族という規模にした可能性がある。ただし、何通が誤送信されたか、どの部局が対象だったかは公表されておらず、この見方は推定にとどまる。誤送信は個々の担当者の過失というより、収集手順の設計の問題として捉える方が、再発防止の議論につながりやすい。
発覚の経路と公表の評価 解釈
発覚のきっかけは、一部のメールが担当者に届かなかったという「欠落」だったと公表されている。誤送信そのものを検知する仕組みで見つかったのか、提出状況の確認で気づいたのかは明らかでない。発覚の1月19日から公表の1月23日までは4日で、対象人数の内訳、情報項目、悪用被害が未確認であることが同時に示された点は、利用者や関係者が状況を把握しやすい公表だったといえる。他方、誤送信先がどのような管理主体のサーバか、情報が閲覧・保存されたか、削除が確認できたかは示されていない。マイナンバーを含む事案であるため、こうした点が続報で補われるかが、公表の完全性を見る上での焦点になる。
対応
- 封じ込め
- 公表資料には、誤送信先への削除依頼など具体的な封じ込め措置の記載はない。関係省庁と連携しながら、漏えいした情報について引き続き注意を払うとしている。
- 公表の仕方
- 2026年1月19日の発覚から4日後の1月23日に、農林水産省が公式サイトで「職員の個人情報の漏えい事案の発生について」を公表し、記者会見も行われた。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| マイナンバーなど機微な情報はメール添付で収集しない | 提出はメールではなく、認証付きの専用フォームまたはファイル共有（SSO、部局別フォルダ、保存期限設定）に一本化する。受領側のみが閲覧できる権限設計にし、アクセスログを取得する。 |
| 提出先アドレスの誤りを配布前に防ぐ | 依頼文に記載する宛先は内部ドメインのみとし、配布前に担当者2名で宛先をレビューし、テスト送信で到達先を確認する。メールゲートウェイで、機微情報を含む外部ドメイン宛の送信を保留・警告するDLPルールを設定する。 |
| 誤送信を早期に検知できる突合を組み込む | 提出予定の部局・人数と受領数を提出期限前に照合する運用を定め、受領状況を一覧化する。不達（バウンス）通知や受領漏れの連絡を担当者が確認する手順を作り、欠落を調査の起点にする。 |
| 誤送信が判明した時点の初動手順を事前に決めておく | 送信先への削除依頼と削除確認、送信ログの保全、影響範囲（件数・情報項目）の確定、関係機関への報告、本人への通知を順に並べた手順書を用意し、年1回は机上訓練で見直す。 |
| 収集手順の変更時に宛先・経路を再点検する | 年末調整のような定例業務でも、依頼文書と送信先設定を毎年変更管理の対象とする。前年の宛先をそのまま流用せず、チェックリストで宛先の有効性と内部ドメインであることを確認する。 |
自組織などでの確認項目
- 自組織で、マイナンバーや給与情報など機微な情報を集める際、メール添付を使っている業務はどれか。専用の提出経路に置き換えられるか。
- 情報提出を依頼する文書に書いた宛先アドレスを、配布前に第三者が確認する手順はあるか。外部ドメイン宛の送信を止める、または警告する設定は有効か。
- 提出すべき人数と受領した人数を、期限前に突き合わせる仕組みはあるか。メールが届かないという異常に、誰がどの時点で気づけるか。
- 誤送信が判明した場合に、送信先への削除依頼、影響範囲の確定、本人通知を誰がどの順で行うか、手順書と連絡先は最新か。
未解明点
- 誤送信先の外部メールサーバの管理主体は誰で、情報が閲覧・保存・転送されたかは確認されたのか。
- 誤送信されたメールの実際の送信日時、通数、対象となった部局の範囲はどうなっているのか。
- 誤送信先への削除依頼や削除確認は行われたのか。行われた場合、その結果はどうだったのか。
- 対象となった職員と家族への個別通知の方法や、相談窓口の有無はどうなっているのか。
出典
- 1DXマガジン2026-01-23報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-01-26報道本文確認済
- 3ScanNetSecurity2026-02-12報道本文確認済
- 4農林水産省2026-01-23公式本文確認済