神奈川県、委託先キズキがファイル共有の権限設定を誤り、システムが意図しないメールを同報送信 — 支援対象者4人分
| 項目 | 内容 |
|---|---|
| 発生日 | 2025年12月3日（同日に受信者からの連絡で判明） |
| 公表日 | 2025年12月26日 |
| 対象組織・業界 | 神奈川県（公共・非営利）。設定を行ったのは業務委託先のキズキ |
| 影響件数 | 支援対象者4人分のメールアドレス |
| 攻撃手法 | 攻撃なし。ファイル共有ドライブで手順と異なる本来必要のないアクセス権限設定を行ったため、システムから意図しないメールが同報送信された |
| 情報源 | Security NEXT（2025年12月26日） |
神奈川県は2025年12月26日、業務委託先のキズキにおいて、メールの誤送信にあたる事象があったと公表しました。
同社はファイル共有ドライブに講座スケジュールの案内ファイルを格納しました。その際、手順と異なる本来必要のないアクセス権限設定を行ったところ、システムから意図しないメールが同報送信されています。
これにより、支援対象者4人のメールアドレスが受信者間で閲覧できる状態となりました。発生は2025年12月3日で、同日にメール受信者からの連絡があり問題が判明しています。
委託先は対象となる関係者にメールと電話で謝罪し、誤送信したメールの削除を依頼しました。
- 2025年12月3日: 委託先がファイル共有ドライブに講座スケジュールの案内ファイルを格納。手順と異なる本来必要のないアクセス権限設定を行ったところ、システムから意図しないメールが同報送信される
- 同日: メール受信者からの連絡により問題が判明
- 対応: 対象となる関係者へメールと電話で謝罪。誤送信したメールの削除を依頼
- 2025年12月26日: 神奈川県が公表
判明している事実: ファイル共有ドライブへのファイル格納時に、手順と異なる本来必要のないアクセス権限設定を行ったことです。その結果、システムから意図しないメールが同報送信されました。使用されたファイル共有サービスの名称や、権限設定の具体的な内容は公表されていません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”この事案の特徴は、「権限を設定する操作」が「メールを送信する動作」を引き起こした点にあります。多くのファイル共有サービスでは、ファイルやフォルダに利用者を追加すると、その相手に通知メールが自動で送られます。共有の意図はあっても、通知を送る意図はなかった——という構図が考えられます。
さらに、通知メールが同報の形で送られたことで、追加された利用者どうしのメールアドレスが相互に見える状態になりました。担当者の画面上では、権限を1つ追加したという操作しか見えていません。メールが送られたことも、その宛先が相互に見えることも、送信後に受信者から連絡が来るまで分からない構造です。
「手順と異なる」という記述からは、正しい手順が定められていたことが読み取れます。定められた手順から外れた操作が行われた理由は公表されていません。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 共有の権限設定が通知を送る仕様かどうかを、事前に確認する
Section titled “1. 共有の権限設定が通知を送る仕様かどうかを、事前に確認する”ファイル共有サービスでは、権限の追加が通知メールの送信を伴うことがあります。「通知しない」オプションの有無と既定値を、組織で使うサービスごとに確認しておく必要があります。設定画面のどこにあるかまで手順書に書いておくと、その場の判断がなくなります。
2. 手順が定められていても、外れられる状態なら外れる
Section titled “2. 手順が定められていても、外れられる状態なら外れる”本件では正しい手順が存在していました。それでも異なる操作が行われています。手順書は、外れたことを検知する仕組みか、外れられない仕組みと組み合わせないと機能しません。共有先をテンプレート化する、権限設定を担当者に開放しないといった構成が考えられます。
3. 委託先が使うツールと設定を、委託元が指定する
Section titled “3. 委託先が使うツールと設定を、委託元が指定する”支援対象者への連絡を委託先が行う構成では、使用するツールと設定は委託先の運用に委ねられます。個人情報を扱うファイル共有については、サービス名と必須設定を仕様として渡すことで、この判断を現場から取り除けます。
ヤグラの視点 — 攻撃面の拡張：支援対象者4人の連絡先は、県ではなく委託先のドライブにあった
Section titled “ヤグラの視点 — 攻撃面の拡張：支援対象者4人の連絡先は、県ではなく委託先のドライブにあった”この事案で情報が露出したのは、神奈川県のシステムではありません。業務委託先が使うファイル共有ドライブです。県が用意したのは事業の要件であって、作業環境ではありません。結果として、支援対象者のメールアドレスは委託先が選んだサービスの上に置かれ、そこでの権限設定の誤りがそのまま露出につながりました。
守るべき範囲を「自組織のシステム」で線引きすると、この経路は視界に入りません。県の情報システム部門の資産台帳にも、県のアクセス管理にも、このドライブは現れないからです。侵入も脆弱性の悪用もなく、担当者が業務のために権限を1つ追加しただけです。それでも、支援対象者どうしが互いのメールアドレスを見る状態が生まれました。
規模は4人分で、同日に判明し、その場で謝罪と削除依頼まで進んでいます。対応としては速い部類です。ただし、うまくいったのは事後対応であって、露出そのものは委託元の管理が届かない場所で起きています。委託を増やすほど、自組織の管理が届く境界がどこで終わっているかを把握しておく必要が増します。委託先が使うサービスと必須設定を指定していない項目は、委託先の既定の運用のまま動きます。
- 使用されたファイル共有サービスと、権限設定の具体的な内容
- 手順から外れた操作が行われた経緯
- 委託先におけるツールと設定の指定を含む再発防止策の公表内容
| 日時 | 内容 |
|---|---|
| 2026-08-17 | 2025年12月26日の公表内容をもとにアーカイブ記事として作成 |