長崎市、委託先が修学旅行ガイドへの業務メールに個人情報データを誤添付 — 166人分が流出し、半年後に発覚

項目	内容
発生日	2024年12月9日
公表日	2025年11月13日（報道は2025年12月2日）
対象組織・業界	長崎市（公共・非営利）。委託先は長崎国際観光コンベンション協会
影響件数	166人分。氏名、住所、電話番号、生年月日、年齢、メールアドレス、要配慮個人情報
攻撃手法	攻撃なし。業務連絡メールの送信時に、当時登録されていたガイドの個人情報を含むデータを誤って添付
情報源	Security NEXT（2025年12月2日）

概要

長崎市は2025年11月13日、委託先の長崎国際観光コンベンション協会において、修学旅行の案内ガイドへ業務メールを送信した際に個人情報を誤って送信していたと公表しました。

2024年12月9日、ガイド10人に対し業務内容を通知するメールを送信した際、当時登録されていたガイドの個人情報を含むデータを誤って添付したものです。対象は166人分で、含まれていたのは氏名や住所、電話番号、生年月日、年齢、メールアドレス、および要配慮個人情報です。

事象が判明したのは2025年6月23日で、別の職員が過去のメール履歴を確認した際に発見されました。発生から半年以上が経過しています。

同市は2025年6月26日に誤送信先のガイドへ謝罪の書面を送付し、7月10日より情報が流出したガイドに順次説明と謝罪を実施しました。7月22日に個人情報保護委員会へ報告しています。

経緯

• 2024年12月9日: 委託先が修学旅行の案内ガイド10人へ業務連絡メールを送信。ガイド166人分の個人情報を含むデータを誤って添付
• 2025年6月23日: 別の職員が過去のメール履歴を確認した際に判明（発生から約6か月半後）
• 2025年6月26日: 誤送信先のガイドへ謝罪の書面を送付
• 2025年7月10日以降: 情報が流出したガイドへ順次説明と謝罪
• 2025年7月22日: 個人情報保護委員会へ報告
• 2025年11月13日: 長崎市が公表
• 2025年12月2日: 報道により伝えられる

原因

判明している事実: 業務内容を通知するメールに、当時登録されていたガイドの個人情報を含むデータを誤って添付したことが原因です。記事には直接的な原因分析の記載がなく、添付ファイルを取り違えた経緯や、送信前の確認手順の有無は公表されていません。要配慮個人情報の具体的な項目も公表されていません。

考えられる原因（推測）

送信先は業務を依頼するガイド10人、添付されたのは登録ガイド166人分の個人情報データです。この組み合わせから、ガイドの登録者名簿が業務連絡と同じ作業環境に置かれており、添付するファイルを選ぶ際に取り違えた可能性が考えられます。名簿と業務資料が同じフォルダに並んでいれば、ファイル名の類似だけでこの誤りは成立します。

発覚が半年半後になった経緯については、誤送信の受信者10人が誰も指摘しなかったことが前提になります。業務連絡として届いたメールの添付ファイルを開かなければ、中身が名簿であることには気づきません。事象の発見が「別の職員が過去のメール履歴を確認した際」であった点は、送信者本人も気づいていなかったことを示しています。

対策

組織が学ぶべきこと

1. 名簿ファイルを、日常の業務資料と同じ場所に置かない

添付するファイルを人が選ぶ場面では、選択肢に何が並んでいるかが誤りの確率を決めます。登録者名簿のような一括データを、業務連絡で使う資料と同じフォルダに置かない——保管場所を分け、アクセス権も分けることで、取り違えという失敗の形自体を減らせます。

2. 委託先の個人情報の取り扱いを、保管場所の単位で確認する

今回、誤送信を行ったのは市ではなく委託先の協会です。委託元が確認すべきなのは「注意しているか」ではなく、名簿がどこに保管され、誰がアクセスでき、業務資料と分離されているかという構成です。運用の実態は、契約の文言ではなく保管場所の作り方に現れます。

3. 要配慮個人情報を含むデータは、対象者に通知すべき範囲が広がる

今回の166人分には要配慮個人情報が含まれており、個人情報保護委員会への報告も行われています。含まれる項目の性質は、通知や報告の義務の重さを直接変えます。名簿に要配慮個人情報を含める必要が業務上あるのかを見直すことは、漏えい時の影響を構造的に小さくします。

ヤグラの視点 — 影響範囲の自動調査：半年半のあいだ、このメールがどう扱われたかは誰も知らない

この事案の対応は、判明後は速く進んでいます。6月23日に発見、6月26日に誤送信先へ謝罪、7月10日から対象者へ説明、7月22日に個人情報保護委員会へ報告。発見してからの動きに問題は見当たりません。重いのは、発見に至るまでの6か月半です。

その6か月半に何が起きたかは、確認する手段がありません。10人の受信者が添付ファイルを開いたか、保存したか、別の相手に転送したか、端末を交換して引き継いだか——送信から時間が経つほど、メールは受信箱の外へ広がる可能性が増えます。誤送信の被害範囲は「誰に送ったか」で決まるのではなく、「送った先でどう扱われたか」で決まります。当日に気づけば削除の依頼が実効を持ちますが、半年後の依頼は形式的なものになります。

だからこそ、この類型で組織が持つべき能力は、「そのメールが誰に届き、開かれたのか」を後から機械的に調べられることです。今回の発見は、別の職員が過去のメール履歴を偶然確認したことによるものでした。偶然に依存している限り、次も半年かかります。報告されたメールについて配信範囲と開封状況を自動で調査する仕組みは、外部からのフィッシングだけでなく、自組織から出てしまったメールの追跡にも同じ形で必要になります（→ PhishAI）。

今後の対応

• 要配慮個人情報の具体的な項目
• 誤って添付されたデータの受信者側での取り扱い状況
• 委託先における名簿の保管方法を含む再発防止策の公表内容

更新履歴

日時	内容
2026-08-12	2025年12月2日の報道および2025年11月13日の公表内容をもとにアーカイブ記事として作成