名古屋市、委託先が指導者21人分の研修受講状況を類似名の別団体へ誤送信 — 発覚は誤送信先からの連絡

項目	内容
発生日	2026年3月26日（誤送信）
対象組織・業界	名古屋市（自治体） / 委託先事業者: アスフィール
攻撃手法	攻撃なし（類似名団体への宛先誤り）
情報源	Security NEXT（2026年4月15日）

概要

名古屋市は、2026年4月15日、業務委託先におけるメールの送信ミスを公表しました。個人情報が含まれていました。

2026年3月26日、「なごや土日クラブ活動ポータル」の委託先事業者であるアスフィールにおいて誤送信が発生。所属指導者の研修未受講の通知メールを、所属団体代表者に送信すべきところ、名称が似ている異なる団体の代表者へ送信したものです。メールには指導者21人分の氏名と研修受講状況が含まれていました。

問題が判明したのは3月29日、誤送信先の団体代表者から委託先事業者へ連絡があったことによります。

経緯

• 2026年3月26日: 委託先事業者アスフィールが、研修未受講の通知メールを名称が似た別団体の代表者へ誤送信
• 2026年3月29日: 誤送信先の団体代表者から委託先事業者へ連絡があり、問題が判明
• 市教育委員会へ報告。対象となる指導者と団体代表者へ謝罪
• 2026年4月15日: 公表

原因

直接の原因は、宛先とすべき団体代表者と、名称が似た別団体の代表者を取り違えたことです。取り違えが起きた具体的な操作（アドレス帳からの選択、リストからの転記等）は公表されていません。

考えられる原因（推測）: 学校部活動の地域移行に伴うクラブ活動ポータルでは、同じ競技名・同じ地域名を含む団体が多数登録されるという構造的な事情があります。「○○中学校区サッカークラブ」「○○サッカークラブ」のように、一文字違い・語順違いの団体名が並ぶ管理画面で、正しい行を選ぶのは目視作業になります。加えて、研修未受講の通知は該当する団体だけを抽出して送る性質の業務であり、抽出→宛先選択→送信という手順のどこかで一行ずれると、そのまま別団体へ届きます。委託先が市の業務としてメールを出す構造上、送信結果を市側が確認する経路がなかったことも、3日間気づかれなかった要因と考えられます。

対策

組織が学ぶべきこと

1. 「名前で選ばせない」宛先設計

類似名の取り違えは、注意力では解決しません。団体名ではなく団体IDで宛先を確定させる、送信前に「団体ID・団体名・宛先アドレス・件数」を並べた確認画面を出す、といった仕組み側の手当てが要ります。目視確認を増やすほど疲弊し、疲弊するほど見落とすからです。

2. 通知対象者のリストを、通知本文に載せない

本件で漏れたのは「指導者21人分の氏名と研修受講状況」です。研修未受講という情報は当人にとって好ましいものではなく、他団体に見られてよい内容ではありません。通知メールには件数と確認手順だけを書き、氏名リストはポータルにログインして見てもらう設計であれば、誤送信が起きても漏れる情報は「どこかの団体に未受講者が21人いる」という程度に抑えられます。

3. 委託先の送信を、委託元が見られる状態にする

名古屋市の業務として送られたメールですが、送信の実行も、誤りの検知も、受信者からの連絡窓口も、すべて委託先側にありました。市が把握したのは事後です。委託先にメール配信を任せる場合、配信ログ（いつ・どの宛先へ・何件）を委託元が定期的に確認できるようにしておくと、事故の検知と説明責任の両方が改善します。

正規のアカウントから正規の相手候補へ送られたメールであり、システムから見れば異常はありません。効くのは、宛先選択の仕組み化と、通知に載せる情報の絞り込みです。

ヤグラの視点 — 影響範囲の自動調査：「同じ間違いが、他にも届いていないか」

誤送信で最初にやるべきことは、送ってしまった1通の回収ではありません。同じ形の誤りが、他にも起きていないかを確認することです。

本件が発覚したのは、誤送信先の代表者が連絡をくれたからでした。裏を返せば、連絡をくれない受信者がいれば、その誤送信は今も表に出ていないということです。類似名の団体が多数登録されたリストを使う業務で、取り違えが1回だけ起きたと考える根拠はありません。同じ担当者が同じ画面で繰り返してきた作業であれば、過去の送信履歴を洗う必要があります。

同種の事案では、1件の指摘をきっかけに過去分を確認して複数回の誤送信が判明する、という展開が繰り返し起きています。逆に、過去分を洗わずに「今回の1件」だけで公表した組織は、後日あらためて追加公表することになります。

「誰に何が届いたか」を機械的に洗い出せる状態を作っておくこと——配信ログを検索可能な形で保持し、宛先と本文の組み合わせを後から突き合わせられるようにしておくことが、影響範囲の確定を数日から数時間に縮めます。人手でメールボックスを遡る運用では、期間を区切った時点で「そこまでは調べた」以上のことが言えなくなります。

今後の対応

市は対象者への謝罪を完了しています。委託先における宛先確認手順の見直し、および同ポータルでの過去の送信に同種の誤りがなかったかの点検結果に関する続報を注視します。

更新履歴

日時	内容
2026-08-07	初稿公開（2026年4月15日公表時点）