スポーツクラブNAS、法人会員2,029人分を含む月次報告を5度にわたり第三者へ誤送信 — 最初の指摘後も4か月間同じ宛先へ送り続ける

項目	内容
発生日	2025年6月6日（初回）〜2025年10月6日（5度目まで）
公表日	2025年12月3日
対象組織・業界	スポーツクラブNAS（大和ハウス工業グループのスポーツクラブ運営／宿泊・観光）
影響件数	法人会員2,029人分の氏名、法人名称、住所、電話番号、生年月日、年齢、性別、その他会員情報
攻撃手法	攻撃なし。月次報告の送信時に誤ったメールアドレスが入力されており、同じ宛先へ5度にわたり送信
情報源	Security NEXT（2025年12月3日）

概要

大和ハウス工業グループでスポーツクラブを運営するスポーツクラブNASは2025年12月3日、法人会員の個人情報を含む月次報告を、あわせて5度にわたり第三者へ誤送信していたと公表しました。

初回の誤送信は2025年6月6日で、誤送信先からの指摘によって同日中に判明しています。しかしその後も誤ったメールアドレスが入力されていることに気づかず、10月6日にかけて4度にわたり、同じ宛先に月次報告を送信していました。2度目以降の発覚は、2025年10月25日に受信者から再度指摘を受けたことによるものです。

対象となったのは法人会員2,029人分の氏名、法人名称、住所、電話番号、生年月日、年齢、性別、その他会員情報です。同社は宛先の確認プロセスを厳格化するほか、システム・ツールの見直し、教育、管理体制の強化を実施する方針を示しています。

経緯

• 2025年6月6日: 法人会員の個人情報を含む月次報告を誤った宛先へ送信。誤送信先からの指摘により同日判明
• 2025年6月〜10月6日: 誤ったメールアドレスが入力されたままであることに気づかず、同じ宛先へ4度にわたり月次報告を送信
• 2025年10月25日: 受信者から再度指摘を受け、継続していたことが判明
• 2025年12月3日: スポーツクラブNASが公表。宛先確認プロセスの厳格化、システム・ツールの見直し、教育、管理体制の強化を実施する方針

原因

判明している事実: 送信先として誤ったメールアドレスが入力されており、それが修正されないまま月次の送信が繰り返されたことが原因です。初回の指摘を受けた後に、なぜ登録されたアドレス自体が修正されなかったかは公表されていません。

考えられる原因（推測）

「誤ったメールアドレスが入力されている」という表現から、送信のたびに手入力していたのではなく、宛先がどこかに保存されており、それを参照して定期送信していた構図が考えられます。月次報告という定型業務であれば、送信先はテンプレートや配布先リストとして固定されているのが自然です。

初回の指摘後も修正されなかった理由としては、指摘を受けた担当者と、月次送信を実行する担当者・仕組みが分離していた可能性が考えられます。「今回の送信を止める」ことと「保存されている宛先を直す」ことは別の作業であり、前者だけで対応が完了したと判断されれば、翌月に同じ宛先へ送られます。指摘の受領から4か月続いたことは、報告が是正の作業まで到達しなかったことを示唆します。

対策

組織が学ぶべきこと

1. 誤送信の報告を受けたら、宛先の登録元まで遡って修正する

この事案の被害を5倍にしたのは、初回のミスではなく初回の指摘後の4回です。誤送信への対応は、送ってしまったメールの削除依頼で終わりません。その宛先がどこに保存されていて、次の送信で再び使われるのかを確認する作業が対応の一部です。

2. 定期送信の宛先は、定期的に照合する

月次報告のような定型送信では、宛先は一度設定されたあと見直されません。送信の自動化・定型化は、間違った宛先も同じ精度で繰り返します。宛先リストを定期的に正規のマスタと突き合わせる運用が、この構造への直接的な対策になります。

3. 外部からの指摘を、是正の完了まで追跡する仕組みを持つ

初回の判明は誤送信先からの指摘でした。外部から届いた指摘が、受領・調査・是正・確認まで追跡されずに途中で止まったことが4か月の継続を許しています。指摘を受け付ける窓口があることと、指摘が是正まで到達することは別の問題です。

ヤグラの視点 — 誤検知とアナリスト疲弊：警告は最初の日に鳴っていた。埋もれたのは、その後の処理である

この事案で最も重要な事実は、誤送信が発生した2025年6月6日の当日に、外部から指摘を受けていたことです。異常を知らせる信号は、最初の一回目で正しく届いています。検知の失敗ではありません。それでも同じ誤送信が4回続き、判明までに4か月半を要しました。

これは、警告が鳴ったあとの処理が機能しなかった事案です。指摘を受けた側は、おそらくその場では対応しています——誤送信先へ謝罪し、削除を依頼したはずです。しかし「今回の1通を処理する」ことと「原因を取り除く」ことの間に線が引かれていなかった。保存されていた誤ったアドレスは残り、翌月の定期送信がそれを再び使いました。警告を受け取ることと、警告の意味を辿って根を断つことは別の仕事です。

セキュリティの現場でも同じ形の失敗が繰り返されています。アラートは出ていた、担当者は見ていた、対処もした——しかし同じ原因から次のアラートが出続ける。個々の事象への対応と、事象を生む条件の除去を、同じ作業として扱わないことが原因です。異常の調査を自動化し、対応の履歴を組織の知識として蓄積して次の判断に使う仕組みは、この分離を埋めるために働きます（→ ヤグラ AI SOC）。同じ指摘を2度受けるまで気づけなかったという結果は、その仕組みの不在をそのまま表しています。

今後の対応

• 誤送信先における情報の取り扱い状況
• 初回の指摘後に宛先が修正されなかった経緯
• 宛先確認プロセスの厳格化とシステム・ツール見直しの具体的内容

更新履歴

日時	内容
2026-08-12	2025年12月3日の公表内容をもとにアーカイブ記事として作成