兵庫県生産性向上事務局（NTTマーケティングアクトProCX）でのメール誤送信（メールアドレス65件）
公表日
兵庫県の医療機関向け補助事業の事務局（株式会社NTTマーケティングアクトProCX）が、補助金申請者65名に一斉メールを送った際、宛先を隠さずに送信しました。その結果、65件のメールアドレスが受信者同士に見える状態になりました。
対象者は？
兵庫県医療機関等生産性向上・職場環境整備緊急支援事業の補助金申請者65名です。漏えいしたのは、病院、診療所、訪問看護ステーションの連絡担当窓口のメールアドレス65件です。公表では、メールアドレス以外の情報が漏えいしたとは書かれていません。
2026年1月21日15時58分ごろに事務局から届いた一斉メールの宛先欄に、ほかの医療機関のアドレスが表示されていないか確認してください。対象の受信者には、同じ日の19時36分に事務局から謝罪とメール削除のお願いが送られています。
いますぐできること
- 対象のメールを受け取っていた場合は、事務局の依頼に従って削除する
- 事務局や補助金をかたる不審なメールが届いたら、リンクや添付ファイルを開かずに、公式の連絡先で確認する
何が起きたのか
2026年1月21日15時58分、県の補助事業の事務局を務める委託事業者が、補助金申請者65名に一斉メールを送りました。このときメールアドレスを隠す設定にしていなかったため、65件のアドレスが受信者全員に見える状態になりました。事務局は16時18分にこのことに気づき、16時35分に兵庫県医務課へ報告しました。19時36分には受信者に謝罪し、メールの削除をお願いしました。兵庫県は1月27日にこの件を公表しました。
なぜ起きたのか・なぜ広がったのか
一斉メールを送る際に、メールアドレスを隠さない状態で送信されたことが原因です。事務局が再発防止策として「宛先を手で入力して送る方法をやめる」と挙げていることから、宛先は手作業で入力されていたことがうかがえます。
いまの状況2026-01-27 時点続報待ち
1月26日17時の時点で、被害などの連絡はないとされています。事務局は、送信前のダブルチェックを徹底し、宛先を手で入力して送る方法をやめるとしています。今後はシステムを改修し、申請者ごとの管理ページからアドレスを自動で取り出して1人ずつ送ります。県は事務局に個人情報の扱いを改めて指導し、再発防止策の実施状況を報告するよう求めています。改修の完了などの続報は、まだ発表されていません。
企業として考えたいこと
自社や委託先が取引先・顧客に一斉メールを送るとき、宛先を手作業で入力していないでしょうか。1人ずつ送る仕組みや、送信前に警告が出る仕組みはあるでしょうか。
技術的な要約
兵庫県医療機関等生産性向上・職場環境整備緊急支援事業の委託先である株式会社NTTマーケティングアクトProCX（兵庫県生産性向上事務局）で、メール誤送信により個人情報が漏えいしたことが判明した。2026年1月21日15時58分、補助金申請者65名に対しメールアドレスを非表示にしない状態で一斉メールが送信され、65件のメールアドレスが漏えいした。漏えいしたのは病院、診療所及び訪問看護ステーションの連絡担当窓口のメールアドレスである。同日16時18分に委託事業者が事案を把握し、19時36分に受信者へ謝罪とメール削除を依頼した。1月26日17時現在、被害等の連絡はない。委託事業者は送付先の手動入力を廃止しシステム改修で個別送信とする再発防止策を示し、県は個人情報の取扱いについて改めて指導する。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認外部からの侵入ではなく、委託事業者による一斉メール送信時にメールアドレスを非表示にしなかった（BCC等を用いなかった）誤送信。侵入口は該当しない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 業務停止に関する公表はない。
- データ
- 確定上限 65確定 65件メール補助金申請者65名宛の一斉メールで65件のメールアドレスが漏えい。病院、診療所及び訪問看護ステーションの連絡担当窓口のメールアドレス。1月26日17時現在、被害等の連絡はない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 兵庫県が事業を委託する委託事業者（株式会社NTTマーケティングアクトProCX）で発生した誤送信で、県の補助事業の申請者の連絡先が漏えいした。
時系列
- 2026-01-21 15:58委託事業者が補助金申請者65名に対し、メールアドレスを非表示にしない状態で一斉メールを送信。65件のメールアドレスが漏えい。1
- 2026-01-21 16:18委託事業者において本事案が判明。1
- 2026-01-21 16:35委託事業者から県医務課へ報告。1
- 2026-01-21 19:36委託事業者から受信者へ謝罪及びメール削除を依頼。1
- 2026-01-26 17:00この時点で本件に関する被害等の連絡はなし。1
- 2026-01-27兵庫県が本件を公表。1
- 2026-01-27委託事業者の再発防止策（送信前ダブルチェックの徹底、手動入力による送信の廃止、システム改修による個別送信）を公表。1
- 2026-01-27県が委託契約書等の規定に基づき個人情報の取扱いについて改めて指導し、再発防止策の実施状況の報告を求める方針を公表。1
技術解説
事案の経過（公表内容） 事実
兵庫県医療機関等生産性向上・職場環境整備緊急支援事業の委託先である株式会社NTTマーケティングアクトProCX（兵庫県生産性向上事務局）で、メール誤送信による個人情報の漏えいが判明した。2026年1月21日15時58分、委託事業者が補助金申請者65名に、メールアドレスを非表示にしない状態で一斉メールを送った。その結果、65件のメールアドレスが漏えいした。対象は病院、診療所、訪問看護ステーションの連絡担当窓口のアドレスである。委託事業者は同日16時18分に事案を把握し、16時35分に県医務課へ報告した。19時36分には受信者に謝罪し、メールの削除を依頼した。兵庫県は1月27日に本件を公表しており、1月26日17時の時点で被害等の連絡はないとしている。
対応と再発防止策（公表内容） 事実
委託事業者が示した再発防止策は三つある。一つ目はメール送信前のダブルチェックの徹底、二つ目は送付先を手動で入力して送る運用の廃止である。三つ目として、システムを改修し、申請者ごとの管理ページから自動でメールアドレスを取得して個別に送る方式に改める。兵庫県は、委託契約書等の規定に基づき、個人情報の取扱いに万全を期すよう委託事業者を改めて指導した。あわせて、再発防止策の実施状況を報告するよう求めるとしている。漏えい件数は、公表上限・確定ともに65件である。漏えいした情報はメールアドレスとされ、ほかの項目は公表に記載されていない。
手動宛先入力による一斉送信という構造 解釈
再発防止策に「手動入力による送信の廃止」と「システム改修による個別送信」が含まれている。このことから、事故当時は複数の宛先を人が入力し、一通のメールで一斉に送る運用だった可能性がある。この方式では、BCCとTO/CCを取り違えるといった一度の操作ミスで、全受信者のアドレスが互いに見えてしまう。ダブルチェックは人の注意に頼る対策で、件数が増えたり作業が繰り返されたりすると効果が下がりやすい。管理ページからアドレスを自動取得して個別に送る仕組みは、ミスが起きても漏えいにつながらない構造的な対策であり、類似事案でも有効と考えられる。ただし、改修の完了時期や、それまでの暫定運用は公表からは分からない。
委託構造と初動・公表の評価 解釈
送信から把握まで約20分、把握から県への報告まで約17分であり、委託先から発注者への連絡経路は機能していたとみられる。受信者への謝罪と削除依頼は送信の約3時間40分後で、同じ日のうちに行われた。一方、県の公表は送信から6日後で、公表文は被害連絡の有無を1月26日17時時点で確認している。このことから、状況を確認してから公表した可能性がある。漏えいしたのは医療機関の連絡窓口のアドレスで、個人の機微情報ではない。ただし、医療機関を狙うフィッシングに使われるリスクは残る。補助事業の運営を外部に委託する場合、発注者がどこまで委託先の送信運用を確認していたかは公表されておらず、評価はできない。
対応
- 封じ込め
- 同日19時36分に委託事業者から受信者へ謝罪及びメール削除を依頼。再発防止策として、メール送信前のダブルチェックを徹底し、送付先の手動入力による送信を廃止、システム改修により申請者毎の管理ページから自動的にメールアドレスを取得し個別に送信する。
- 公表の仕方
- 2026-01-27に兵庫県が公表。委託事業者は同日16時35分に県医務課へ報告。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 一斉メールの宛先を手動で入力すると、一度のミスで全員のアドレスが漏えいする | 申請者などへの連絡は、管理システムのアドレス情報から1人1通の個別送信にする。一斉配信が必要な場合は配信サービスを使い、受信者同士のアドレスが見えない仕組みにする。 |
| 送信前のダブルチェックは人の注意に頼るため、それだけでは防ぎきれない | メールクライアントやゲートウェイに、外部宛先がTO/CCに一定数以上あると送信を保留・警告するルールを入れる。あわせて、送信の取り消し猶予時間（遅延送信）を設定する。 |
| 委託先の送信運用は、発注者から見えにくい | 個人情報を扱う委託契約で、一斉送信の方法（BCC禁止・個別送信の義務など）を仕様に明記する。そのうえで、契約時と定期点検の際に実際の送信手順を確認する。 |
| 漏えい後の削除依頼は、相手の協力に頼るしかない | 誤送信時の対応手順（把握・報告・受信者への謝罪と削除依頼・公表判断）を、時間の目安と連絡先つきで文書にしておく。委託先とも共有して訓練する。 |
| 漏えいしたアドレスは、なりすましメールの宛先として使われるおそれがある | 影響を受けた組織に、事務局をかたる不審メールへの注意を呼びかける。事務局からの正規メールは送信元ドメインを固定し、SPF/DKIM/DMARCを設定する。 |
自組織などでの確認項目
- 自組織や委託先で、外部の複数の相手にメールを送るとき、宛先を手動で入力する運用が残っていないか
- TO/CCに外部アドレスが多数入ったメールの送信を、システムで警告・保留する設定があるか
- 個人情報を扱う委託契約で、メール送信の方法や誤送信時の報告期限を定め、実際の運用を確認しているか
- 誤送信が起きたとき、把握から発注者への報告・受信者への連絡までの手順と担当者が決まっているか
未解明点
- 誤送信がBCCの設定ミスによるものか、具体的な操作内容や送信メールの中身は公表されていない
- システム改修（管理ページからの自動取得・個別送信）の完了時期と、それまでの暫定運用は公表されていない
- 受信者65名のうち、どれだけがメールを削除したかは公表されていない
- 再発防止策の実施状況について、県への報告内容の続報は確認できていない
出典
- 1兵庫県2026-01-27公式本文確認済