新潟県、感染症週報速報版のメールで宛先を誤設定 — 医療機関関係者90件のアドレスが相互に閲覧可能に

2026/04/27 全容判明軽微公共・非営利 #人的ミス

項目	内容
発生日	2026年4月9日15時ごろ
判明日	2026年4月10日19時半ごろ（職員が気づく）
報道日	2026年4月27日
対象組織・業界	新潟県（自治体・感染症情報の週次配信業務）
事象	感染症週報速報版のメールで送信先を宛先欄に設定し、受信者間でアドレスが閲覧可能な状態に
影響件数	メールアドレス90件（非公開の個人アドレス13件／公開済みの個人アドレス10件／関係機関の所属アドレス67件）
情報源	Security NEXT（2026年4月27日）

概要

新潟県は、感染症週報速報版のメール配信において送信ミスがあり、医療機関関係者のメールアドレスが流出したことを明らかにしました。

同県によれば、2026年4月9日15時ごろ、医療機関関係者のメールアドレス90件に向けて感染症週報速報版を配信した際、送信先メールアドレスを誤って宛先に設定したため、受信者間で互いのアドレスが閲覧できる状態となりました。

流出した90件の内訳は、外部へ公開されていない個人メールアドレスが13件、ウェブサイト等で公開されている個人メールアドレスが10件、関係機関の所属メールアドレスが67件です。

翌4月10日19時半ごろに職員が誤送信に気づき、送信先へ謝罪するとともに誤送信したメールの削除を依頼しています。

経緯

2026年4月9日15時ごろ: 感染症週報速報版のメールを医療機関関係者90件へ配信。この際、送信先を宛先欄に設定
2026年4月10日19時半ごろ: 職員が誤送信に気づく（発生から約28時間後）
送信先へ謝罪し、誤送信したメールの削除を依頼
2026年4月27日: Security NEXTが報道

原因

公表されている原因は、一斉配信の際に本来BCCに設定すべきアドレスを宛先欄に設定したことです。外部からの攻撃やシステムの不具合によるものではありません。

考えられる原因（推測）: 感染症週報は、その名のとおり毎週決まった曜日に、ほぼ同じ宛先リストへ送られる定型業務です。この種の配信では、前回送信したメールを開いて転送・複製し、本文だけ差し替えて送る運用が広く見られます。宛先の指定を毎回ゼロから行わない運用であれば、一度きりの操作ミスというより、その回だけ複製元や操作手順が普段と違っていた可能性が考えられます。

発生から職員が気づくまでに約28時間を要している点も、この推測と整合します。宛先欄に90件が並んだメールは、送信直後の送信済みフォルダを見れば分かる状態ですが、送信後に自分の送ったメールを見返す工程が業務手順に含まれていなければ、気づく機会は次に誰かが指摘するまで訪れません。いずれも推測であり、公表されているのは宛先設定の誤りという事実までです。

対策

組織が学ぶべきこと

1. 定期配信こそ、宛先の指定方法を人手から外す

毎週・毎月といった定期配信は、回数が多いぶん事故の期待値が高い業務です。にもかかわらず、「いつもやっていること」であるがゆえに手順の点検対象から外れます。宛先の指定をメーラーの操作に依存させている限り、確率的にいつかは同じ事故が起きます。メーリングリスト・配信システム・差し込み送信のいずれかを用い、送信者がアドレスを宛先欄に入れる余地そのものを業務から取り除くことが、教育よりも先に来る対策です。

2. 「公開済みのアドレスだから軽微」とは言い切れない

本件では90件のうち10件が既にウェブサイト等で公開されているアドレスでした。しかし、公開情報であっても「この90者が同じ配信リストに載っている」という組み合わせの情報は新しく生まれています。感染症情報の配信リストは、受信者が医療機関の関係者であることを示す名簿でもあり、標的型メールの宛先リストとしての価値を持ちます。個々のアドレスの公開性だけで影響を評価すると、この点を見落とします。

3. 送信後の確認を、手順の最後の一行として書く

約28時間という空白は、注意力の問題ではなく手順の問題です。「送信後、送信済みフォルダで宛先を目視確認する」という一行が手順書にあれば、この事案は当日中に判明していました。事故を減らす手順ではなく、事故に早く気づく手順を分けて設計する価値がここにあります。

ヤグラの視点 — 影響範囲の特定：90件を「13・10・67」に分けて説明したこと

メールの宛先欄に何を入れるかは送信者の操作であり、ここで書けるのは業務手順と公表設計の話に限られます。

そのうえで注目したいのは、公表内容の粒度です。同県は「メールアドレス90件が流出した」で止めず、非公開の個人アドレス13件・公開済みの個人アドレス10件・関係機関の所属アドレス67件という内訳まで示しました。誤送信の公表としては、かなり細かい部類に入ります。

この分解には実務上の意味があります。90件のうち、新たに外部に晒された情報は実質13件です。公開済みの10件は既に誰でも取得できる状態にあり、所属アドレスの67件は個人に紐づきません。逆に言えば、非公開の個人アドレス13件については、なりすましメールの宛先として利用されるリスクを個別に見る必要がある——どこに注意を向けるべきかが、この内訳から読み取れます。

「何件漏れたか」だけを出す公表は、受け取った側に判断材料を渡しません。数字が大きければ不安を煽り、小さければ軽視される。どちらの場合も、受信者が自分の身に何が起きうるかを判断できないという点では同じです。影響範囲の特定とは、総数を数えることではなく、性質の違うものを分けて数えることです。

そしてこの分解は、事故が起きてから急にできるものではありません。配信リストが「誰の、どういう性質のアドレスの集まりなのか」を平時から把握していなければ、90件を13・10・67に切り分けることはできません。普段から自分たちの持っているデータの性質を分かっているかどうかが、事故のときの説明の質にそのまま出ます。

今後の対応

同県は送信先への謝罪と誤送信メールの削除依頼を実施済みです。感染症週報速報版の配信手順の見直しについて、追加の公表が想定されます。

更新履歴

日時	内容
2026-04-27	初稿公開（報道日時点）