桐蔭横浜大学、スポーツ教室申込者へのアンケート案内メールを2度にわたり誤送信 — 最大151件のメールアドレスが露出
| 項目 | 内容 |
|---|---|
| 発生日 | 2025年11月25日（桐蔭スポーツチャレンジ教室申込者へのアンケート案内時） |
| 公表日 | 2025年12月11日 |
| 対象組織・業界 | 桐蔭横浜大学（桐蔭学園／教育・研究） |
| 影響件数 | 最大151件のメールアドレス |
| 攻撃手法 | 攻撃なし。2度にわたり送信先を誤って宛先に設定 |
| 情報源 | Security NEXT（2025年12月11日） |
桐蔭横浜大学は2025年12月11日、桐蔭スポーツチャレンジ教室の申込者へアンケートを案内するメールを送信する際、2度にわたり送信先を誤って宛先に設定したと公表しました。
これにより、最大151件のメールアドレスが受信者間で閲覧できる状態となりました。発生は2025年11月25日です。
同大学は謝罪し、対象となるスポーツ教室の申込者に対して、閲覧できたメールアドレスを第三者へ提供しないよう求めています。
- 2025年11月25日: 桐蔭スポーツチャレンジ教室の申込者へアンケート案内メールを送信する際、送信先を誤って宛先に設定。同じ誤りを2度繰り返す
- 対応: 謝罪し、対象となる申込者へ閲覧できたメールアドレスを第三者提供しないよう要請
- 2025年12月11日: 桐蔭横浜大学が公表
判明している事実: 送信先を「BCC」ではなく宛先に設定したことが原因で、それが2度にわたり繰り返されたことが公表されています。1度目と2度目の間隔、2度目が起きた経緯、使用した送信手段は公表されていません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”同じ誤りが2度繰り返されている点が、この事案の中心です。想定される経過は二つあります。ひとつは、1度目の誤送信に気づかないまま、続きの対象者へ2度目を送った場合。もうひとつは、1度目の誤りに気づいたうえで、送り直しの際に再び同じ誤りをした場合です。
前者であれば、送信後に自分の送信結果を確認する手順がなかったことを意味します。後者であれば、誤りの原因が「BCCとTOの取り違え」であると特定される前に再送が行われたことになります。いずれの場合も、1度目と2度目のあいだに確認の工程が存在しなかったという点は共通します。
151件という規模と「アンケートの案内」という用途からは、配信システムではなく手元のメーラーで送信されたことが考えられます。教室の申込者は学内のアカウントを持たないため、学内システムの配信機能の対象外になりやすい立場です。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 誤送信に気づいた直後の「送り直し」を、手順として止める
Section titled “1. 誤送信に気づいた直後の「送り直し」を、手順として止める”誤送信の対応では、正しい形で送り直す作業が急がれます。しかし急いで送り直す瞬間は、1度目とまったく同じ条件で操作している状態です。誤りの原因を特定するまで再送を保留する、あるいは再送は別の担当者が行うという手順が、2度目を防ぎます。
2. 送信後の自己確認を、一斉送信のたびに行う
Section titled “2. 送信後の自己確認を、一斉送信のたびに行う”複数宛先へ送った直後に送信済みメールの宛先欄を開けば、誤りは即座に判明します。この確認がなければ、続きの送信が同じ誤りを重ねます。コストはほぼゼロで、繰り返しを止める効果は大きい手順です。
3. 学外の参加者への連絡経路を、あらかじめ用意しておく
Section titled “3. 学外の参加者への連絡経路を、あらかじめ用意しておく”教室の申込者や公開講座の参加者は、学内システムの管理対象外にあります。それでも個人情報を伴う連絡が必要になる立場であり、その経路が用意されていなければ手作業に落ちます。外部の参加者向けの配信手段を、部門を越えて共通に持つことが対策になります。
ヤグラの視点 — 報告率をKPIに：1度目と2度目のあいだに、報告と是正が入っていない
Section titled “ヤグラの視点 — 報告率をKPIに：1度目と2度目のあいだに、報告と是正が入っていない”この事案の記述で決定的なのは、「2度にわたり」という一語です。1度の誤送信は、宛先欄の設定を人が判断する運用では確率的に起こります。しかし2度目は違います。1度目から2度目のあいだに、報告と是正が入るはずの空白があったということです。
誤送信は、当事者と発見者が同一人物になり得る特異な事故です。送信した本人が送信済みメールを見れば、誤りは疑いようがありません。にもかかわらず2度目が起きたのは、確認する手順がなかったか、気づいたが誰にも言わずに送り直したかのいずれかです。後者であれば、報告のハードルの高さが直接的に被害を拡大させたことになります。「自分で処理してから報告しよう」という判断が、2度目を招く典型的な経路です。
この構造への対策は、注意力を上げることではありません。報告が早いほど得になる運用にすることです。誤送信を申告した時点で再送を止め、原因の特定を別の人が担い、報告そのものを評価する。訓練の成果をクリック率ではなく報告率で測るという考え方は、外部からの攻撃を報告する場面と、自分のミスを申告する場面で同じように働きます（→ ヤグラ アウェアネス）。1度目を防ぐのは仕組みですが、2度目を防ぐのは報告の速さです。
- 2度目の誤送信が起きた経緯と、1度目からの間隔
- 使用した送信手段と、再発防止策の公表内容
| 日時 | 内容 |
|---|---|
| 2026-08-12 | 2025年12月11日の公表内容をもとにアーカイブ記事として作成 |