福岡市、放課後児童クラブで児童93人分の退室予定表を第三者へ誤送信 — 印刷用にデータをメールで送る運用が起点
| 項目 | 内容 |
|---|---|
| 発生日 | 2025年11月19日（誤送信から約20分後に発覚） |
| 公表日 | 2025年12月5日 |
| 対象組織・業界 | 福岡市（放課後児童クラブ／公共・非営利） |
| 影響件数 | 児童93人分の氏名、学年、および2025年11月19日の退出時刻と欠席状況 |
| 攻撃手法 | 攻撃なし。印刷のためプリンタ接続のパソコンへデータをメール送信しようとした際、メールアドレスを誤って第三者へ送信 |
| 情報源 | Security NEXT（2025年12月5日） |
福岡市は2025年12月5日、放課後児童クラブでメールの誤送信があったと公表しました。
入退室管理システムからダウンロードした児童の退室予定表を印刷するため、プリンタが接続されているパソコンへデータをメールで送信しようとした際、メールアドレスを誤って第三者へ送信したものです。
含まれていたのは児童93人分の氏名、学年、および2025年11月19日の退出時刻と欠席状況です。誤送信は2025年11月19日に発生し、約20分後に問題が発覚しています。同市は同日、誤送信先に対してメールで謝罪し、誤送信したメールの削除を依頼しました。
- 2025年11月19日: 児童の退室予定表を印刷するため、プリンタ接続のパソコンへデータをメール送信しようとして、誤ったメールアドレスへ送信
- 同日（誤送信から約20分後）: 問題が発覚
- 同日: 誤送信先へメールで謝罪し、誤送信したメールの削除を依頼
- 2025年12月5日: 福岡市が公表
判明している事実: 印刷を目的として、プリンタが接続されているパソコンへデータをメールで送信する際に、メールアドレスを誤って入力したことが原因です。誤送信先が誰であったか、宛先の入力補完によるものかは公表されていません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”注目すべきは、誤送信そのものではなくその業務経路です。入退室管理システムから出力したデータを、印刷するためにメールで別のパソコンへ送るという手順が定着していたことになります。この構成は、印刷したい端末とデータを扱う端末が分かれており、両者の間にファイル共有の手段がなかった場合に生じます。
メールを「ファイルを移す手段」として使う運用では、宛先の入力が毎回発生します。送信先が自分自身や同僚である前提の操作でも、宛先欄は外部の誰にでも到達できる状態で開かれています。入力補完による候補の取り違えは、この構造では常に起こり得ます。
児童93人分という規模と「11月19日の退出時刻と欠席状況」という内容から、送られたのは日々の運用で使う当日分の予定表であったと考えられます。日常的に繰り返される作業であったことが、確認手順が省かれる背景になります。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. メールを「ファイルの移動手段」に使う運用を業務から外す
Section titled “1. メールを「ファイルの移動手段」に使う運用を業務から外す”印刷のためにデータをメールで送るという手順が、この事案の起点です。端末間でファイルを渡す必要があるなら、共有フォルダやネットワークプリンタといった、宛先の入力を伴わない手段を用意するのが直接的な対策になります。宛先を入力しない仕組みでは、宛先の誤りは発生しません。
2. 日常業務のなかにある「外部に届く操作」を洗い出す
Section titled “2. 日常業務のなかにある「外部に届く操作」を洗い出す”メールの送信は、社内向けであっても外部に到達できる操作です。日々繰り返される作業のうち、どれが外部に届き得るのかを業務単位で洗い出すことで、確認手順を置くべき場所が特定できます。すべての作業に確認を課すのは現実的ではなく、外部到達性のある操作に絞る必要があります。
3. 20分での発覚と当日の削除依頼は、実効性のある初動である
Section titled “3. 20分での発覚と当日の削除依頼は、実効性のある初動である”この事案では約20分後に発覚し、同日中に謝罪と削除依頼まで到達しています。受信者がメールを開く前に依頼が届く可能性が残る速度です。誤送信への対応は、原因分析よりも初動の速さが実際の被害を左右します。
ヤグラの視点 — 部門別のリアリティ：児童の下校時刻という情報が、どの部門の情報と違うのか
Section titled “ヤグラの視点 — 部門別のリアリティ：児童の下校時刻という情報が、どの部門の情報と違うのか”漏えいしたのは児童93人分の氏名、学年、そしてその日の退出時刻と欠席状況です。件数は100人未満で、住所も電話番号も含まれていません。一般的な個人情報の分類に照らせば、規模も項目も小さい事案に見えます。
しかしこの組み合わせは、特定の子どもが何時に施設を出るかを示す情報です。氏名と学年と退出時刻が揃うことの意味は、顧客名簿のメールアドレスが揃うことの意味とは異なります。欠席状況が含まれていれば、その日その子どもがどこにいたかも分かります。同じ「93件の個人情報」という数え方では、この差は表現できません。
情報の重さが部門ごとに違うということは、確認の手順や配布のルールも部門ごとに設計する必要があるということです。全庁一律の「メール送信時は宛先を確認する」という周知は、どの部門にも当てはまる代わりに、どの部門にも刺さりません。児童の所在情報を日々扱う現場には、その情報が漏れたときに何が起きるのかを、その現場の言葉で共有する必要があります。部門や役割に応じたリアリティのある教育設計が、画一的なシナリオよりも行動を変えるのは、この点においてです（→ ヤグラ アウェアネス）。
- 誤送信先における情報の取り扱い状況
- 印刷経路の見直しを含む再発防止策の公表内容
| 日時 | 内容 |
|---|---|
| 2026-08-12 | 2025年12月5日の公表内容をもとにアーカイブ記事として作成 |