東急リゾーツ＆ステイ、顧客9万5986人分のCSVを委託先へ誤送信 — 社内宛のはずのメールが協力会社に届いた

項目	内容
発生日	2026年3月25日（誤送信・同日覚知）
対象組織・業界	東急リゾーツ＆ステイ（宿泊施設運営）
攻撃手法	攻撃なし（メール宛先の誤り）
情報源	Security NEXT（2026年4月20日）

概要

東急リゾーツ＆ステイは、2026年4月20日、顧客情報を含むCSVファイルを委託先へ誤って送信したことを公表しました。2026年3月25日、社内の関連部署に送るべきメールの宛先を誤り、委託先である協力会社へ送信したものです。

対象となったのは、東急ステイ大阪本町・東急ステイメルキュール大阪なんば・東急ステイ渋谷の3施設を2025年4月1日から2026年1月31日までに利用した9万5986人分の情報です。含まれていたのは氏名、勤務先、利用施設名、到着日、出発日、予約番号、部屋タイプなど。宿泊者本人だけでなく、勤務先と宿泊日程が一体になっている点が特徴です。

経緯

• 2026年3月25日: 社内関連部署宛のメールの宛先を誤り、委託先の協力会社へ送信。同日中に誤送信に気づく
• 同日: 送信先へ削除を依頼し、削除完了の報告を受ける
• 2026年4月20日: 公表。個人情報保護委員会へ報告済み、対象者へ謝罪

原因

同社の説明は「宛先を誤った」という一点で、メールソフト上の操作（アドレス帳のサジェスト誤選択、コピー&ペーストの取り違え等）の詳細は公表されていません。

考えられる原因（推測）: 委託先の協力会社は同社にとって日常的な連絡相手であり、社内部署のアドレスと同じアドレス帳・同じ送信履歴に並んでいた可能性が考えられます。メールクライアントの宛先補完は「よく送る相手」を上位に出すため、社内向けの定型作業でも外部アドレスが候補に混ざります。加えて、9万5986人分のCSVを添付ファイルとしてメールで渡す運用そのものが、1回の操作ミスの影響を最大化する構造だったと見られます。同社が再発防止策として「メール利用を避け、社内限定コミュニケーションツールを活用する」と述べているのは、この構造を認識しているためと考えられます。

対策

組織が学ぶべきこと

1. 「社内宛だから」で緩む確認

外部送信のダブルチェックを義務づけている組織でも、社内宛メールは対象外にしているケースが少なくありません。ところが実際の事故は「社内に送るつもりが外に出た」という形で起きます。チェックの発動条件を「外部宛のとき」ではなく「個人情報ファイルを添付したとき」に変えるだけで、この種の事故はカバー範囲に入ります。

2. 10万件規模のデータがメールに乗る運用を残さない

本件で流出しかけたのは10カ月分・3施設分の宿泊台帳に相当する規模です。同社の再発防止策は「メールを使わない」——つまり転送手段そのものを変えるという方向で、これは正しい発想です。権限付きの共有ストレージや社内限定ツールであれば、送信先の誤りは「アクセス権のない人には開けない」形で吸収されます。

3. 勤務先と宿泊日程がセットになることのリスク

氏名と宿泊日だけなら影響は限定的ですが、勤務先が加わると「誰がいつどこに出張していたか」が復元できます。出張パターンは営業活動や商談の推測材料になり得ます。法人契約の宿泊データを扱う事業者は、この組み合わせを「個人情報」より一段重い機微情報として扱う必要があります。

攻撃者は存在せず、システムは指示どおりに動いています。効くのは、送信手段の設計変更と、添付ファイルの中身に応じて確認手順が変わる業務ルールです。

ヤグラの視点 — 説明責任のログ：「削除しました」を、どうやって確認するか

本件で同社は当日中に削除を依頼し、削除完了の報告を受けています。対応としては最速の部類です。ただし、ここで残る問いがあります——その「削除しました」を、送った側はどう検証できるのか。

誤送信の事後対応は、ほぼ例外なく相手方の善意に依存します。受信者がメールを開いたか、添付を保存したか、転送したか、バックアップに残っているか。これらは受信側のログにしか記録がなく、送信元組織からは原理的に見えません。個人情報保護委員会への報告や対象者への説明で「二次流出のおそれは低い」と言えるかどうかは、この見えない部分をどこまで詰められたかで決まります。

実務上できるのは、削除依頼を口頭や電話で済ませず、依頼日時・削除実施日時・削除範囲（メールボックス／添付の保存先／バックアップ）・回答者の役職を文書で残すことです。相手が委託先であれば、契約に「委託業務外のデータを受領した場合の削除義務と報告様式」を書き込んでおくと、事故時に交渉から始めずに済みます。

「速やかに削除を依頼し、削除の報告を受けました」という一文の裏付けの厚みが、そのまま説明責任の強度になります。

今後の対応

同社はメールによる授受を避け、社内限定のコミュニケーションツールの活用と定期的な教育の徹底を表明しています。対象者への個別連絡の範囲、および二次利用の有無に関する続報を注視します。

更新履歴

日時	内容
2026-08-07	初稿公開（2026年4月20日公表時点）