カンコー学生服の直営店「カンコーショップ盛岡」、制服受け渡し連絡メールで宛先を誤設定 — 顧客533人のアドレスが相互に閲覧可能に

2026/04/24 全容判明中程度製造 #人的ミス

項目	内容
発生日	2026年3月28日19時ごろ
判明日	2026年3月28日（受信した顧客からの指摘）
報道日	2026年4月24日
対象組織・業界	カンコー学生服の直営店「カンコーショップ盛岡」（学生服の製造・販売）
事象	制服の受け渡し連絡メールで送信先を宛先欄に設定し、受信者間でアドレスが閲覧可能な状態に
影響件数	顧客533人
情報源	Security NEXT（2026年4月24日）

概要

カンコー学生服の直営店であるカンコーショップ盛岡は、顧客に送信したメールでミスがあり、メールアドレスが流出したことを明らかにしました。

同店によれば、2026年3月28日19時ごろ、同店で制服を購入した顧客へメールで連絡を取った際に誤送信が発生したものです。533人に対して制服を渡す日時と場所を連絡した際、送信先を誤って宛先に設定したため、受信者間で互いのメールアドレスが閲覧できる状態となりました。

同日、メールを受信した顧客からの指摘により判明。対象となる顧客にメールで謝罪し、誤送信したメールの削除を依頼しています。

経緯

2026年3月28日19時ごろ: 制服購入者533人に対し、制服の受け渡し日時と場所を連絡するメールを送信。この際、送信先を宛先欄に設定
2026年3月28日: 受信した顧客からの指摘により誤送信が判明
対象顧客へメールで謝罪し、誤送信メールの削除を依頼
2026年4月24日: Security NEXTが報道

原因

公表されている原因は、一斉送信の際に本来BCCに設定すべきアドレスを宛先欄に設定したことです。外部からの攻撃やシステムの不具合によるものではありません。

考えられる原因（推測）: 発生が3月28日19時ごろという点に、この事案の構造がよく表れていると考えられます。学生服の販売は入学準備期に極端に需要が集中する業態であり、3月下旬は受け渡しの連絡が一年で最も立て込む時期にあたります。533人という宛先数は、日常的な連絡業務の規模ではありません。

普段は数件から数十件の個別連絡で回っている業務が、繁忙期に数百件規模の一斉連絡へと切り替わる。このとき、送信件数だけが変わり、送信の手順は普段のまま——という状況が生まれやすくなります。個別連絡であれば宛先欄にアドレスを入れることは正しい操作であり、その手つきのまま533件を貼り付ければ、誤りは操作としては連続しています。いずれも推測であり、公表されているのは宛先設定の誤りという事実までです。

対策

組織が学ぶべきこと

1. 業務量が跳ね上がる時期を、事故のリスク期間として先に特定する

学校・学習塾・学生服販売・引越業といった季節業務では、繁忙期に業務量が数倍から数十倍になります。事故はこの時期に集中しますが、対策の議論は往々にして通年の平均で行われます。「うちの業務で、連絡件数が最も膨らむのはいつか」を先に特定し、その時期の直前に手順を確認するほうが、通年の啓発より効きます。

2. 個別連絡と一斉連絡は、別の業務として手順を分ける

同じメーラーで、同じ担当者が、同じ画面から送るとしても、1人に送るのと533人に送るのは別の業務です。前者では宛先欄にアドレスを入れることが正解であり、後者では誤りになります。同じ道具で正解が反転する業務を、同じ手順で扱えば事故は起きます。一斉連絡については、宛先の指定方法そのものを変える（配信システム・差し込み送信を使う）か、少なくとも送信前に別の人が宛先欄を見る一工程を挟む必要があります。

3. 学生服の購入者リストは、未成年とその家庭に直結する

流出したのは制服購入者のメールアドレスです。この名簿は「特定の学校に入学する生徒の保護者」という、非常に絞り込まれた属性を持ちます。単なるアドレスの集合ではなく、入学案内や学校からの連絡を装ったなりすましが成立しやすい母集団です。件数の多寡だけでなく、名簿が示す属性の細かさで影響を評価する必要があります。

ヤグラの視点 — 訓練で防げた分岐点：「BCCにする」は全員が知っていて、それでも起きる

メールの宛先欄に何を入れるかは送信者の操作であり、ここで書けるのは教育設計と業務手順の話に限られます。

そして教育の話をするなら、まず認めておくべきことがあります。「一斉送信はBCCで」というルールを知らない社会人は、ほとんどいません。 誤送信は知識の欠如で起きているのではなく、知識が作動しない状況で起きています。にもかかわらず、事故のあとに実施される教育は「BCCを使いましょう」の再周知に落ち着きがちです。知っていることをもう一度伝えても、次の繁忙期の19時に、その知識が呼び出される保証はありません。

分岐点は知識と体験のあいだにあります。ルールを聞いて理解することと、「533件のアドレスが並んだ画面を前にして、送信ボタンを押す直前に手が止まる」ことのあいだには距離があります。この距離を詰められるのは、説明ではなく、その場面を一度通過した経験です。

だとすれば、教育の設計で問うべきは「何を教えるか」ではなく、「どの場面を再現するか」になります。座学で扱うべきは平常時の正しい手順ではなく、繁忙期の夜に数百件を送る、まさにその場面です。手順書のどこにルールが書いてあるかを知っている人ではなく、その画面で違和感を持てる人を増やすことが目的になります。

この考え方は、フィッシング対策で「知識より体験」が重視されるのとまったく同じ構造です。騙されない知識を配ることではなく、騙されうる場面を先に通過させておくこと——誤送信対策も、突き詰めれば同じ設計思想の上に立ちます。違うのは、想定すべき相手が攻撃者ではなく、自分たちの繁忙期だという点だけです。

今後の対応

同店は対象顧客への謝罪と誤送信メールの削除依頼を実施済みです。一斉送信業務の手順見直しについて、追加の公表が想定されます。

更新履歴

日時	内容
2026-04-24	初稿公開（報道日時点）