レクストアセットマネジメント、不動産小口化投資ファンドの会員向けメールを宛先に設定して送信 — プライバシーマークの審査機関へ事故報告
| 項目 | 内容 |
|---|---|
| 発生日 | 2025年12月1日 |
| 公表日 | 2025年12月26日（報道） |
| 対象組織・業界 | レクストアセットマネジメント（不動産小口化投資ファンド「おうちの再生ファンドVIFA」の運営／金融・保険） |
| 影響件数 | 公表されていない。会員のメールアドレス |
| 攻撃手法 | 攻撃なし。メール送信時に送信先を誤って宛先として設定 |
| 情報源 | Security NEXT（2025年12月26日） |
不動産小口化投資ファンド「おうちの再生ファンドVIFA」を運営するレクストアセットマネジメントは、会員向けメールの送信でミスがあったと公表しました。
送信先を誤って宛先として設定したため、受信者間でメールアドレスが閲覧できる状態となりました。発生は2025年12月1日で、件数は公表されていません。
同社は対象となる会員に経緯の報告と謝罪を行い、誤送信したメールの削除を依頼しました。あわせてプライバシーマークの審査機関に事故報告を実施しています。
- 2025年12月1日: 会員向けメールの送信時に、送信先を誤って宛先として設定
- 対応: 対象となる会員へ経緯の報告と謝罪。誤送信したメールの削除を依頼。プライバシーマークの審査機関へ事故報告
- 2025年12月26日: 報道により伝えられる
判明している事実: メール送信時に、送信先を「BCC」ではなく宛先として設定したことです。使用した送信手段、送信前の確認手順の有無、対象件数は公表されていません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”会員向けの一斉連絡でありながら、宛先の設定を人が判断する運用だった点が、この事案の前提にあります。配信の専用システムを使っていれば、受信者ごとに個別の送信となり、宛先の相互露出という失敗の形自体が生じません。手元のメーラーで送信していた可能性が考えられます。
不動産小口化投資ファンドの会員という属性も、この事案の意味に関わります。会員であること自体が、その人が特定の投資商品に資金を投じているという情報です。メールアドレスから個人が特定できる場合、投資家であるという事実が他の会員に知られることになります。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 会員への一斉連絡は、配信の仕組みに寄せる
Section titled “1. 会員への一斉連絡は、配信の仕組みに寄せる”宛先の設定を人が判断する限り、誤りは確率の問題になります。配信システムを使えば受信者ごとに個別の送信となり、相互露出は構造的に起きません。会員数にかかわらず、複数宛先への同一内容の送信は同じ手段に統一する必要があります。
2. 投資商品の会員名簿は、メールアドレスだけでも属性情報になる
Section titled “2. 投資商品の会員名簿は、メールアドレスだけでも属性情報になる”漏えいしたのはメールアドレスのみですが、「このファンドの会員である」という属性が同時に伝わります。金融商品を扱う事業者では、顧客であるという事実自体が保護すべき情報にあたる場面があります。
3. 認証・認定制度への報告経路を、事前に確認しておく
Section titled “3. 認証・認定制度への報告経路を、事前に確認しておく”同社はプライバシーマークの審査機関へ事故報告を行っています。認定を受けている事業者には、監督官庁とは別に認定機関への報告義務が生じます。どの機関へ、いつまでに、何を報告するかを平常時に整理しておくことで、事故時の対応が滞りません。
ヤグラの視点 — 説明責任のログ：報告する先は、個人情報保護委員会だけではない
Section titled “ヤグラの視点 — 説明責任のログ：報告する先は、個人情報保護委員会だけではない”この事案の対応で目を引くのは、対象会員への謝罪と削除依頼に加えて、プライバシーマークの審査機関に事故報告を実施している点です。件数も公表されていない小規模な誤送信でありながら、外部の認定機関への報告まで到達しています。
個人情報の漏えいが起きたとき、報告先は一つではありません。個人情報保護委員会への報告、対象者への通知、そして認定を受けている場合は認定機関への報告——それぞれ期限も様式も求められる内容も違います。プライバシーマークであれば、事故の概要だけでなく、原因分析と再発防止策の実施状況まで求められます。「対象者に謝った」で完結する話ではありません。
このとき効いてくるのが、何がどこまで起きたかを記録から示せるかどうかです。何通送ったのか、誰に届いたのか、削除依頼にどれだけ応じてもらえたのか。外部機関への報告は、組織の主観ではなく事実の提示を求めます。説明を求められてから記録を探し始める組織と、平常時から残している組織とでは、報告書の質と作成にかかる時間が変わってきます。
規模の小さい誤送信であっても、報告義務のある事業者では対応の手数は同じだけかかります。だからこそ、誤りが起きる余地を仕組みで消しておくことが、事後対応のコストを含めて割に合う判断になります。
- 対象となった会員の件数
- 使用した送信手段と、再発防止策の公表内容
| 日時 | 内容 |
|---|---|
| 2026-08-17 | 2025年12月26日の報道内容をもとにアーカイブ記事として作成 |