佐賀県、旅行会社担当者への連絡メールで宛先を誤設定 — 108人のアドレスが相互に閲覧可能に、削除まで確認

項目	内容
発生日	2026年4月9日
報道日	2026年4月22日
対象組織・業界	佐賀県（自治体・観光関連事業者との連絡業務）
事象	県内の旅行会社担当者への連絡メールで送信先を宛先欄に設定し、受信者間でアドレスが閲覧可能な状態に
影響件数	108人
情報源	Security NEXT（2026年4月22日）

概要

佐賀県は、県内の旅行会社の担当者へ送信したメールで誤送信が発生し、メールアドレスが流出したことを明らかにしました。

同県によれば、2026年4月9日、県内の旅行会社の担当者に連絡する際にメールの誤送信事故が発生したものです。108人へ送信した際、メールアドレスを誤って宛先に設定したため、受信者間でメールアドレスが閲覧できる状態となりました。

同県は対象となる担当者に謝罪し、誤送信したメールの削除を依頼。削除されたことを確認したとしています。

経緯

• 2026年4月9日: 県内の旅行会社の担当者108人へ連絡メールを送信。この際、送信先を宛先欄に設定
• 対象となる担当者へ謝罪し、誤送信メールの削除を依頼
• 誤送信メールが削除されたことを確認
• 2026年4月22日: Security NEXTが報道

原因

公表されている原因は、一斉送信の際に本来BCCに設定すべきアドレスを宛先欄に設定したことです。外部からの攻撃やシステムの不具合によるものではありません。

考えられる原因（推測）: 自治体が県内事業者へ一斉連絡を行う業務は、補助制度の案内・キャンペーンの募集・調査依頼など、担当課が随時実施する定型に近い業務です。この種の連絡では、事業者リストを表計算ソフトで管理し、アドレス列をコピーしてメーラーへ貼り付ける手順が広く使われます。貼り付け先が宛先欄かBCC欄かは、貼り付ける直前のカーソル位置だけで決まります。

108人という件数は、一件ずつ手入力する規模ではなく、かといって配信システムを導入するほどではないと判断されやすい中間の規模でもあります。この帯の業務が、手作業のまま残りやすい領域です。いずれも推測であり、公表されているのは宛先設定の誤りという事実までです。

対策

組織が学ぶべきこと

1. 「削除を確認した」まで到達した対応の意味

多くの誤送信の公表は「削除を依頼した」で終わります。同県は依頼にとどまらず、削除されたことの確認まで実施しています。108人という件数に対して一人ずつ状況を確かめる作業は、決して軽い負荷ではありません。この差は、事後対応をどこまでを完了と定義しているかの違いです。

2. 流出したのが「事業者の担当者」であることの意味

本件で流出したのは個人の私的なアドレスではなく、県内の旅行会社に勤める担当者のアドレスです。個人への直接的な被害は生じにくい一方、「佐賀県の観光関連事業に関わる旅行会社担当者108人」という業界名簿が形成されている点は見過ごせません。この属性がそろったリストは、行政を装った補助金詐欺や、業界向けの標的型メールの宛先として利用価値を持ちます。

3. 「BCCにする」を担当者の記憶に預けない

事業者向けの一斉連絡は複数の課で日常的に発生します。各課の担当者が個々にメーラーを操作している限り、組織全体では相当な回数の一斉送信が行われており、そのすべてで宛先の指定が正しい保証はありません。組織単位で一斉配信の手段を用意し、そちらを使うことを標準にするほうが、各課への注意喚起を重ねるより確実です。

ヤグラの視点 — 報告率をKPIに：誤送信は、自分から言い出さない限り表に出ない

メールの宛先欄に何を入れるかは送信者の操作であり、ここで書けるのは組織文化と対応設計の話に限られます。

その前提で考えたいのは、この事案がどうやって公表に至ったかです。誤送信には、他の多くのインシデントと決定的に違う性質があります。アラートが鳴りません。 不正アクセスであればログに痕跡が残り、マルウェア感染であれば検知製品が反応します。しかし宛先欄にアドレスを並べて送ったメールは、システムから見れば完全に正常な送信です。誰かが「これはまずい」と口に出さない限り、事故は存在しないことになります。

だとすれば、誤送信対策における最も重要な指標は、発生件数ではありません。発生したうち、何件が自己申告されたかです。件数を減らすことを目標に掲げれば、報告しないことが最も簡単な達成手段になります。「今年度の誤送信ゼロ」という数字は、事故が起きなかったことを意味するかもしれませんし、報告が上がらなかったことを意味するかもしれません。数字だけでは区別がつきません。

同県が削除の確認まで到達している点は、この文脈で読む価値があります。削除を確認するという作業は、108人に対して自分たちの誤りを再度伝えに行くことでもあります。速やかに謝罪し、追いかけて確認し、公表する——この一連の動きが成立するのは、報告した担当者が責め立てられない場が用意されているときだけです。

叱責によって減るのは事故ではなく報告です。誤送信が起きたときに担当者が最初に取るべき行動は、隠すことでも一人で回収を試みることでもなく、すぐに声を上げることです。その行動が取りやすい組織かどうかは、事故が起きてから作れるものではありません。

今後の対応

同県は対象者への謝罪、誤送信メールの削除依頼、および削除の確認を完了しています。一斉送信業務の手順見直しについて、追加の公表が想定されます。

更新履歴

日時	内容
2026-04-22	初稿公開（報道日時点）