神奈川県、委託先が「かながわコミュニティカレッジ講座」受講者32人へのメールを宛先に設定して送信
| 項目 | 内容 |
|---|---|
| 発生日 | 2025年12月7日（発覚は翌8日、受信者からの連絡による） |
| 公表日 | 2025年12月23日 |
| 対象組織・業界 | 神奈川県（かながわ県民活動サポートセンター／公共・非営利）。誤送信を行ったのは委託先のソーシャルコーディネートかながわ |
| 影響件数 | 受講者32人分のメールアドレス |
| 攻撃手法 | 攻撃なし。メール送信時に送信先を誤って宛先に設定 |
| 情報源 | Security NEXT（2025年12月23日） |
神奈川県は2025年12月23日、かながわ県民活動サポートセンターの委託先であるソーシャルコーディネートかながわにおいて、メールの誤送信があったと公表しました。
「かながわコミュニティカレッジ講座」の受講者向けメールを送信する際、送信先を誤って宛先に設定するミスがあり、受信者間でメールアドレスが閲覧できる状態となりました。対象は受講者32人分です。
発生は2025年12月7日で、翌12月8日に受信者からの連絡により判明しています。委託先は12月9日に対象となる受講者に対してメールと電話で連絡を取り謝罪し、誤送信したメールの削除を依頼しました。
- 2025年12月7日: 委託先が「かながわコミュニティカレッジ講座」の受講者へメールを送信する際、送信先を誤って宛先に設定
- 2025年12月8日: 受信者からの連絡により判明
- 2025年12月9日: 対象となる受講者へメールと電話で連絡を取り謝罪。誤送信したメールの削除を依頼
- 2025年12月23日: 神奈川県が公表
判明している事実: メール送信時に送信先を「BCC」ではなく宛先に設定したことです。使用した送信手段、委託先における確認手順の有無は公表されていません。再発防止策も公表されていません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”32人という件数は、一斉配信の仕組みを使うほどの規模ではないと担当者が判断しうる数です。講座の受講者への連絡は受講期間中に随時発生し、そのたびに宛先を指定する運用であれば、手元のメーラーで送るほうが早くなります。
委託先が県の事業として講座を運営している構成上、県の側で使用するツールや送信手順を指定していなかった可能性が考えられます。手段の指定がなければ、委託先が普段使っているメーラーが使われます。
発覚が受信者からの連絡であった点は、送信後に自組織で送信結果を確認する手順がなかったことを示唆します。ただし発生翌日に判明し、その翌日に対象者への連絡まで到達している点は、指摘を受けてからの動きが速かったことを示しています。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 委託業務における受講者への連絡手段を、委託元が指定する
Section titled “1. 委託業務における受講者への連絡手段を、委託元が指定する”講座の運営を委託する場合、受講者への連絡は委託先が行います。このとき使用するツールと手順を委託元が指定していなければ、宛先の設定は委託先の担当者の判断に委ねられます。受講者名簿を扱う連絡については、配信の仕組みを含めて仕様として渡すことが対策になります。
2. 件数の少なさは、手作業を正当化しない
Section titled “2. 件数の少なさは、手作業を正当化しない”32人であっても、宛先に入れれば32人が互いのアドレスを見ます。一斉配信の仕組みを「大量送信のときだけ使うもの」と位置づけると、少人数への連絡が抜け落ちます。複数の宛先に同じ内容を送る業務は、件数にかかわらず同じ手段に寄せる必要があります。
3. 送信直後の自己確認を手順に組み込む
Section titled “3. 送信直後の自己確認を手順に組み込む”今回、誤りに気づいたのは受信者でした。送信済みフォルダを開いて宛先欄を確認するだけで、翌日まで待つ必要はありませんでした。複数宛先への送信後に送信結果を確認する一手順は、コストがほぼゼロで発覚までの時間を短縮します。
ヤグラの視点 — 報告のハードル：委託先が翌日に県へ上げられたことが、この事案の評価点である
Section titled “ヤグラの視点 — 報告のハードル：委託先が翌日に県へ上げられたことが、この事案の評価点である”32人分のメールアドレス。規模だけを見れば、記録に残す必要があるかを迷う事案です。それでも委託業務における誤送信として、明確に評価できる点があります。12月7日に発生し、8日に判明、9日には対象となる受講者への謝罪と削除依頼まで到達していることです。
委託先で起きたミスは、構造的に隠されやすい性質を持ちます。報告すれば委託元からの評価に影響し、契約の継続にも関わり得る。誤送信の事実を知っているのは委託先と受信者だけで、委託先が黙っていれば委託元は知りません。今回は受信者からの連絡がきっかけでしたが、そこから県への報告と受講者への謝罪が2日で完了しています。委託元と委託先のあいだに、悪い情報が滞留せずに流れる経路が機能していたことを示しています。
この経路の有無は、平常時には見えません。事故が起きた瞬間に初めて、報告する側にとってのハードルの高さが結果に現れます。ハードルを下げるために必要なのは、報告の手段が単純であることと、報告した相手が不当に扱われないという見通しです。不審なメールを1クリックで報告できる設計が組織内で効くのと同じ理屈が、委託先との関係にも当てはまります（→ PhishAI）。委託を増やすほど、この経路を意識的に作っておく必要が増します。
- 使用した送信手段と、再発防止策（配信の仕組みへの統一等）の公表内容
- 同種の委託業務における連絡手段の指定状況
| 日時 | 内容 |
|---|---|
| 2026-08-12 | 2025年12月23日の公表内容をもとにアーカイブ記事として作成 |