新潟県委託事業の再委託先における誤送信（個人メールアドレス18件の漏えい）
公表日
新潟県の委託事業で、再委託先が起業講座の案内メールを送った際、他の送信先が見える形になり、個人メールアドレス18件が漏えいしました。
対象者は？
起業講座の受講予定者等に送られた案内メールの送信先です。漏えいしたのは個人メールアドレス18件で、公表されている情報の種類はメールアドレスのみです。
県の公式発表で内容を確認できます。送信先には謝罪とメール削除の依頼が行われたと公表されています。
いますぐできること
- 該当するメールを受け取った方は、削除の依頼に沿って、そのメールを削除する
- 新潟県の公式発表で、内容と今後の案内を確認する
何が起きたのか
令和8年8月10日16時44分、再委託先が起業講座の受講予定者等に案内メールを送りました。このとき、受信者同士のアドレスが見える「宛先」欄にメールアドレスを入れて送信しました。17時00分に、アドレスが漏えいしたことが分かりました。送信先には謝罪し、メールの削除を依頼したと公表されています。
なぜ起きたのか・なぜ広がったのか
公表された原因は、一斉送信の際に、他の送信先が分かる「宛先」欄にメールアドレスを入力したことです。それ以上の背景は発表されていません。
いまの状況2026-08-10 時点
新潟県は令和8年8月10日付で公表しました。今後の対策として、にいがた産業創造機構が再委託先に、一斉送信でBCCを使うことを含め、送信者以外の社員がメール全体を確認することを徹底するとしています。その後の続報はまだ発表されていません。
企業として考えたいこと
皆さんの会社で、お客様や参加者に一斉メールを送るとき、送信者以外の人が送信前に宛先欄を確認する仕組みはありますか。委託先や再委託先でも同じ仕組みがあるか、把握できていますか。
技術的な要約
新潟県の委託事業（委託先：公益財団法人にいがた産業創造機構）で、再委託先が起業講座の受講予定者等に案内メールを送付する際、他の送信先が分かる「宛先」欄にメールアドレスを入力して送信した。これにより個人メールアドレス18件が漏えいした。メールは令和8年8月10日16時44分に送信され、同日17時00分に漏えいが判明した。対応として送信先への謝罪とメールの削除依頼を行った。再発防止として、一斉送信時にBCCを利用していることを含め、送信者以外の社員がメール全体を確認することを再委託先に徹底するとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認外部からの攻撃ではなく、再委託先による案内メール送信時の「宛先」欄への入力による誤送信。侵入経路には該当しない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし
- データ
- 確定上限 18確定 18件メール起業講座の受講予定者等に送信した案内メールの「宛先」欄により、個人メールアドレス18件が他の送信先に分かる状態となった。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 県委託事業の委託先（にいがた産業創造機構）の再委託先による漏えい。
時系列
- 2026-08-10 16:44
- 2026-08-10 17:00
- 2026-08-10
- 2026-08-10
- 2026-08-10
技術解説
事案の概要と経緯 事実
新潟県の委託事業（委託先は公益財団法人にいがた産業創造機構）で、再委託先が起業講座の受講予定者等に案内メールを送付する際、他の送信先が分かる「宛先」欄にメールアドレスを入力して送信した。このため個人メールアドレス18件が漏えいした。メールは令和8年8月10日16時44分に送信され、同日17時00分に漏えいが判明した。新潟県は同日付でこの事案を公表している。公表されている漏えい情報の種類はメールアドレスで、件数は18件である。
公表されている対応と再発防止策 事実
対応として、メールの送信先に対し謝罪の上、メールの削除を依頼した。今後の対策として、にいがた産業創造機構より再委託先に対し、メールを一斉送信する場合は「BCC」を利用していることを含め、送信者以外の社員がメール全体の確認を行うことを徹底するとしている。公表資料で示されている対応は、この謝罪と削除依頼、そしてBCC利用および送信者以外の社員による全体確認の徹底である。件数は公表された18件として扱い、上限と確定の区別は公表資料からは読み取れない。
委託・再委託の構造と誤送信の起きやすさ 解釈
この事案は、県、委託先、再委託先と三層にわたる事業の末端で起きた。公表された原因は、一斉送信で宛先欄にアドレスを入力したという操作面の問題である。こうした誤送信は、送信者個人の注意だけに頼る運用では、どの組織でも起こり得る。また、再委託先の運用ルールは県や委託先から見えにくく、チェック体制が個別の事業ごとに異なる可能性がある。公表された再発防止策が「送信者以外の社員による全体確認」を含む点は、個人の注意から複数人での確認へ移す方向と読める。ただし、仕組みでの防止策が取られるかどうかは公表資料からは分からない。
公表内容の評価 解釈
公表は、メール送信から同日中に漏えいが判明し、同日付で行われている。経緯の時刻、件数、情報の種類、対応、再発防止策が簡潔にまとまっており、読み手が規模を把握しやすい。一方で、公表資料から分からない点も残る。メールの削除がどの程度確認できたか、二次的な被害の有無、再委託先が行う具体的な確認手順、監督当局への報告の有無などである。件数が少ない事案であるため、詳細が限られること自体は不自然ではない。ただ、委託事業の管理という観点では、委託元がどう再委託先を管理するかの続報があれば、他組織にも参考になる。
対応
- 封じ込め
- メールの送信先に対し謝罪の上、メールの削除を依頼した。
- 公表の仕方
- 令和8年8月10日付で新潟県がホームページおよび報道資料で公表した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 一斉送信では宛先欄の誤用が起きやすく、人の注意だけでは防ぎきれない | メール配信システムや配信リスト機能など、受信者同士のアドレスが見えない方式を標準にする。メーラーで手入力する運用は禁止し、宛先に複数の外部アドレスが入った状態では送信前に警告や確認画面が出る設定（DLPやメールゲートウェイのルール）を入れる。 |
| 送信者以外の目による確認は有効な対策になり得る | 外部宛の一斉送信は、送信前に第三者が宛先・CC・BCCの区分を確認する二人承認の手順にする。メールシステム側で、外部宛かつ受信者が一定数を超える場合に送信保留して承認を求める設定を行い、承認記録を残す。 |
| 再委託先の情報管理は委託元から見えにくい | 委託契約・再委託承認の時点で、個人情報を扱う一斉連絡の手順（配信方法、確認者、事故時の連絡期限）を仕様書に明記する。年次の点検で再委託先の運用記録を確認し、事故報告の連絡先と期限を一覧化する。 |
| 発生から判明までが短いほど、被害の拡大を抑えやすい | 送信直後に送信者以外が送信済みメールを確認する手順を定め、誤りの検知から削除依頼・謝罪・報告までの対応手順をテンプレート化する。誤送信時の報告先と文面を事前に用意し、訓練で実際に使えるか確かめる。 |
自組織などでの確認項目
- 自組織の外部向け一斉メールは、どの方法（配信システム、メーラーのBCCなど）で送られているか。宛先を手入力する運用が残っていないか。
- メール送信前に送信者以外が全体を確認する手順はあるか。確認する人が実際に宛先欄・CC・BCCを見られる仕組みになっているか。
- 委託先・再委託先が個人情報を使って連絡を行う場合、その手順や事故時の連絡期限を契約や仕様書で把握しているか。
未解明点
- 再委託先がどの組織か、また送信に使ったメールの仕組み（配信システムか通常のメーラーか）は公表されていない。
- 送信先によるメール削除がどこまで確認できたか、また漏えいしたアドレスが悪用された事実の有無は公表されていない。
- 再発防止策の実施状況や、個人情報保護に関する関係機関への報告の有無は、公表資料からは確認できない。
出典
- 1新潟県（産業労働部 創業・イノベーション推進課）2026-08-10公式本文確認済
- 2新潟県 産業労働部創業・イノベーション推進課2026-08-10公式本文確認済