株式会社レノファ山口、クラウドファンディング支援者への案内メールを「CC」で送信 — 最大538件のメールアドレスが流出

項目	内容
発生日	2025年11月18日
公表日	2025年11月28日
対象組織・業界	株式会社レノファ山口（J2リーグ「レノファ山口FC」の運営会社／メディア・エンタメ）
影響件数	クラウドファンディング支援者のメールアドレス 最大538件
攻撃手法	攻撃なし。案内メールの送信時に、送信先のメールアドレスを誤って「CC」に設定
情報源	Security NEXT（2025年11月28日）

概要

J2リーグのサッカークラブ「レノファ山口FC」を運営する株式会社レノファ山口は2025年11月28日、クラウドファンディング支援者向けの案内メールを送信する際、送信先のメールアドレスを誤って「CC」に設定したと公表しました。

これにより、受信者間でメールアドレスが閲覧できる状態となり、対象は最大538件にのぼります。発生日は2025年11月18日です。

同クラブは支援者に対し、今回入手したメールアドレスを第三者へ提供しないよう協力を求めています。

経緯

• 2025年11月18日: クラウドファンディング支援者へ案内メールを送信。送信先を誤って「CC」に設定
• 2025年11月28日: 株式会社レノファ山口が公表。支援者へメールアドレスを第三者提供しないよう協力を要請

原因

判明している事実: 案内メールの送信時に、送信先のメールアドレスを「BCC」ではなく「CC」に設定したことが原因と公表されています。使用したメール送信の手段（メーラーの手作業か配信システムか）や、送信前の確認手順の有無は公表されていません。

考えられる原因（推測）

538件という規模は、一斉配信の専用システムを使わずに通常のメーラーで宛先を手作業で貼り付けて送る運用でも成立する件数です。クラウドファンディングという単発の企画に付随する連絡であったことから、日常的な会員向け配信の仕組みとは別に、担当者が手元で送信したことが考えられます。

「CC」と「BCC」は、多くのメーラーで隣接した入力欄として並んでいます。支援者全員に同じ案内を届けるという業務要件は、どちらの欄に入れても満たされるため、送信の瞬間に誤りが可視化されません。単発の企画では、定常業務のように手順が確立していないことが誤りの背景になりやすい構造があります。

対策

組織が学ぶべきこと

1. 一斉送信は「宛先を選ぶ作業」から外す

CCとBCCの選択を人が行う限り、誤りは確率的に発生します。メール配信システムを使えば受信者ごとに個別の送信となり、宛先の相互露出という失敗の形そのものがなくなります。件数が数百に達する連絡でメーラーを使うかどうかが、実質的な分岐点です。

2. 単発の企画にも、配信の手順を用意しておく

クラウドファンディングやイベントのような単発企画では、連絡手段が担当者の裁量に委ねられがちです。定常業務のメール配信で使っている仕組みを、企画側の連絡にも初期設定として適用できる状態にしておくことで、その場の判断を減らせます。

3. 流出したアドレスの扱いを、受信者に依頼する形での回収には限界がある

今回、クラブは支援者に第三者提供しないよう協力を求めました。誠実な対応ですが、すでに538件のアドレスは538人の受信箱に届いており、削除を強制する手段はありません。回収可能性が低いという前提に立てば、対策の重心は送信前の仕組みに置くほかありません。

ヤグラの視点 — 二次攻撃の連鎖を断つ：クラブを名乗るメールが届く先が、まとめて渡った

流出したのは538件のメールアドレスだけで、氏名や住所は含まれていません。単体では被害の小さい情報に見えます。ただしこの538件は無作為な名簿ではなく、あるサッカークラブのクラウドファンディングに実際に支援した人の集合です。属性が揃っている点に意味があります。

この名簿を手にした側から見れば、「レノファ山口からのお知らせ」という件名のメールは、受信者全員にとって心当たりのある文脈を持ちます。追加の寄付依頼、リターン発送の確認、決済の再手続き——支援した記憶があるからこそ疑われにくいという構造が生まれます。しかも受信者はこの誤送信を通じて「クラブからのメールは届くものだ」という前提を強めています。名簿の価値は件数ではなく、送り手を騙れる度合いで決まります。

だからこそ、この種の漏えいへの備えは「流出した情報の機微さ」ではなく、その後に来るなりすましを何分で止められるかで測るべきものです。不審なメールを受け取った側が1クリックで報告でき、報告されたメールをAIが数分で分析して同じものが誰に届いているかまで自動で調べられれば、二次波は最初の数件で止まります（→ PhishAI）。今回のように名簿が外部に渡った事案では、その体制の有無が実際の被害の大きさを決めます。

今後の対応

• 使用した送信手段と、再発防止策（配信システムへの移行等）の公表内容
• 流出したメールアドレスを悪用したなりすましメールの発生状況

更新履歴

日時	内容
2026-08-12	2025年11月28日の公表内容をもとにアーカイブ記事として作成