神奈川県、委託先でイベント申込者42人分のメールアドレスが受信者間に露出 — 委託先が自ら気づいて県へ報告
| 項目 | 内容 |
|---|---|
| 発生日 | 2025年11月30日15時ごろ |
| 公表日 | 2025年12月8日 |
| 対象組織・業界 | 神奈川県（公共・非営利）。誤送信が発生したのは委託先の服部学園 OCHABI artgym |
| 影響件数 | 合計42人分のメールアドレス（送信対象メール9件） |
| 攻撃手法 | 攻撃なし。イベント申込者へのメール送信時に、送信先を誤って宛先に設定 |
| 情報源 | Security NEXT（2025年12月8日） |
神奈川県は2025年12月8日、イベント申込者へのメール送信時に宛先設定の誤りがあり、合計42人分のメールアドレスが受信者間で閲覧できる状態になったと公表しました。
誤送信が発生したのは、県が委託していた服部学園 OCHABI artgymです。発生は2025年11月30日15時ごろで、送信先を誤って宛先に設定するミスがあり、送信対象となったメールは9件でした。
事象は委託先が気づいて県へ報告しています。同県は対象となった申込者にメールで謝罪し、誤送信したメールの削除を依頼しました。
- 2025年11月30日15時ごろ: 委託先がイベント申込者へメールを送信する際、送信先を誤って宛先に設定
- 発生後: 委託先が事象に気づき、神奈川県へ報告
- 対応: 対象となった申込者へメールで謝罪し、誤送信したメールの削除を依頼
- 2025年12月8日: 神奈川県が公表
判明している事実: イベント申込者へのメール送信時に、送信先を「BCC」ではなく宛先に設定したことが原因です。送信対象となったメールは9件で、合計42人分のメールアドレスが露出しました。使用した送信手段や、委託先における確認手順の有無は公表されていません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”「送信対象メール9件」で「42人分」という内訳は、1通あたり数人ずつ宛先に入れた送信が9回行われたことを示していると考えられます。全員を1通にまとめたのではなく、グループごとや回ごとに分けて送信していた構図です。
この形は、申込者を回ごと・コースごとに分けて案内する運用で自然に生じます。1通あたりの宛先が数人であれば、宛先欄に並ぶアドレスの数は少なく、誤りの見た目のインパクトも小さくなります。まとめて数百件を送るケースと比べて、送信前に違和感を覚える契機が乏しい構造があります。
イベント運営を委託しているという構成上、県の側で使用するツールや送信手順を指定していなかった可能性が考えられます。手段の指定がなければ、委託先が普段使っているメーラーで送られます。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 委託業務でも、参加者への連絡手段を委託元が指定する
Section titled “1. 委託業務でも、参加者への連絡手段を委託元が指定する”イベントの運営を委託する場合、申込者への連絡は委託先が行います。このとき使用するツールと手順を委託元が指定していなければ、宛先の設定は委託先の担当者の判断に委ねられます。参加者名簿を扱う連絡については、配信の仕組みを含めて仕様として渡すことが対策になります。
2. 少人数への分割送信も、一斉配信と同じリスクを持つ
Section titled “2. 少人数への分割送信も、一斉配信と同じリスクを持つ”1通あたり数人であっても、宛先に入れれば相互に露出します。分割して送ることは、露出する組み合わせを小さくするだけで、露出そのものを防ぎません。件数の小ささで手段を選ばず、複数宛先への送信は一律で配信の仕組みに寄せる必要があります。
3. 委託先が自ら報告できる関係を維持する
Section titled “3. 委託先が自ら報告できる関係を維持する”この事案は、委託先が自ら気づいて県へ報告しています。委託先が不利益を恐れて報告をためらう関係では、事象は委託元に届かないまま処理されます。報告を受け付ける窓口と、報告した委託先を不当に責めない運用は、外部に出した業務の可視性を保つ前提です。
ヤグラの視点 — 報告のハードル：委託先が自分から報告できたことが、この事案の評価点である
Section titled “ヤグラの視点 — 報告のハードル：委託先が自分から報告できたことが、この事案の評価点である”42人分のメールアドレス、送信メール9件。規模だけを見れば、記録に残す必要があるかを迷う事案です。それでもこの事案には、委託業務における誤送信として明確に評価できる点があります。委託先が事象に気づき、自ら神奈川県へ報告したことです。
委託先で起きたミスは、構造的に隠されやすい性質を持ちます。報告すれば委託元からの評価に影響し、契約の継続にも関わり得る。誤送信の事実を知っているのは委託先だけで、報告しなければ委託元は永久に知りません。受信者42人が指摘しなければ、この事案は公表されることもなかった可能性があります。にもかかわらず報告が上がったことは、委託元と委託先の間に、悪い情報が流れる経路が機能していたことを示しています。
この経路の有無は、平常時には見えません。事故が起きた瞬間に初めて、報告する側にとってのハードルの高さが結果に現れます。ハードルを下げるために必要なのは、報告の手段が単純であることと、報告した相手が不当に扱われないという見通しです。不審なメールを1クリックで報告できる設計が組織内で効くのと同じ理屈が、委託先との関係にも当てはまります（→ PhishAI）。委託を増やすほど、この経路を意識的に作っておく必要が増します。
- 委託先における連絡手段と確認手順の見直し状況
- 同種の委託業務における連絡手段の指定状況
| 日時 | 内容 |
|---|---|
| 2026-08-12 | 2025年12月8日の公表内容をもとにアーカイブ記事として作成 |