大阪市、妊婦向け支援給付金の確認メールを「CC」で送信 — 口座振込が不能となった12人のメールアドレスが相互に露出

項目	内容
発生日	2025年11月5日
公表日	2025年12月1日
対象組織・業界	大阪市（担当部署は公表されていない／公共・非営利）
影響件数	妊婦向け支援給付金の口座振込が不能となった12人のメールアドレス
攻撃手法	攻撃なし。確認メールの送信時に、送信先のメールアドレスを誤って「CC」に設定
情報源	Security NEXT（2025年12月1日）

概要

大阪市は2025年12月1日、妊婦向け支援給付金制度において、支給時に口座振込が不能となった12人に対し確認のメールを送信した際、送信先のメールアドレスを誤って「CC」に設定したと公表しました。

これにより、受信者間でメールアドレスが閲覧できる状態となりました。発生は2025年11月5日で、住民からの問い合わせにより2025年11月11日に認知しています。

同市は対象となった申請者に対し、電話で経緯を説明するとともに謝罪し、誤送信したメールの削除を依頼しました。住民が返信したメールについては問題なかったとしています。

経緯

• 2025年11月5日: 口座振込が不能となった12人へ確認メールを送信。送信先を誤って「CC」に設定
• 2025年11月11日: 住民からの問い合わせにより事象を認知（発生から6日後）
• 認知後: 対象者へ電話で経緯を説明・謝罪し、誤送信したメールの削除を依頼
• 2025年12月1日: 大阪市が公表

原因

判明している事実: 確認メールの送信時に、送信先のメールアドレスを「BCC」ではなく「CC」に設定したことが原因と公表されています。送信前の確認手順の有無や、使用した送信手段は公表されていません。

考えられる原因（推測）

12人という件数は、一斉配信の仕組みを使うほどの規模ではないと担当者が判断しうる数です。振込が不能となった対象者への確認という業務は例外処理であり、定型の通知フローには乗りません。少人数だからこそ手作業で送られ、少人数だからこそ確認の手順も省かれた——という経過が考えられます。

事象の認知が住民からの問い合わせによるものであった点は、送信後に自組織で誤りを確認する手順がなかったことを示唆します。送信済みメールを見返せば「CC」に12件が並んでいることは一目で分かるため、確認の機会自体が設けられていなかったと考えられます。

対策

組織が学ぶべきこと

1. 件数の少なさは、手作業を正当化しない

12人分であっても、CCに入れれば12人が互いのアドレスを見ます。一斉配信の仕組みを「大量送信のときだけ使うもの」と位置づけると、少人数の例外処理が抜け落ちます。複数の宛先に同じ内容を送る業務は、件数にかかわらず同じ手段に寄せる必要があります。

2. 例外処理こそ手順を用意する

口座振込の不能は、通常の支給フローが完了しなかったケースへの対応です。例外処理は発生頻度が低く、そのぶん担当者の即興に委ねられやすい部分です。定型業務の手順書に例外時の連絡手段まで含めておくことで、その場の判断を減らせます。

3. 送信直後の自己確認を手順に組み込む

今回、誤りに気づいたのは住民でした。送信済みフォルダを開いて宛先欄を確認するだけで6日の空白は生まれなかったはずです。複数宛先への送信後に送信結果を確認する一手順は、コストがほぼゼロで、発覚までの時間を大きく短縮します。

ヤグラの視点 — 報告率をKPIに：6日間の空白は、気づけなかったのではなく気づく係がいなかった

この事案で最も重い数字は、流出した12件ではなく発生から認知までの6日間です。11月5日に送信し、11月11日に住民から問い合わせを受けて初めて認知しています。この間、誤送信の事実は市の側では存在していませんでした。

注目すべきは、誤りを発見できる人が確実に一人いたという点です。送信した本人です。送信済みメールの宛先欄を見れば、12件のアドレスが「CC」に並んでいることは疑いようがありません。それでも6日空いたのは、送信後に確認する手順がなかったから、あるいは確認して気づいても報告する経路が明確でなかったからのいずれかです。誤送信は「起きた瞬間に犯人と発見者が同一人物である」という特異な性質を持ちます。

だからこそ、この類型に対する組織の実力は、自分のミスを何分で申告できるかという一点に集約されます。報告が遅れる理由は知識の不足ではなく、報告したときに責められるかどうかの見通しです。誤送信の報告を受け付ける経路を明確にし、報告そのものを評価する運用にすること——訓練の成果をクリック率ではなく報告率で測る考え方は、外部からの攻撃だけでなく、内部のミスの申告にもそのまま当てはまります（→ ヤグラ アウェアネス）。

今後の対応

• 使用した送信手段と、再発防止策（一斉配信の仕組みへの統一等）の公表内容
• 同種の例外処理における連絡手順の見直し状況

更新履歴

日時	内容
2026-08-12	2025年12月1日の公表内容をもとにアーカイブ記事として作成