オリエンタル群馬、群馬県立敷島公園の出店募集メールで宛先を誤設定 — 過去メールの確認で1カ月前の44件も判明

項目	内容
発生日	2026年3月5日（44件）／2026年4月8日（43件）
判明日	2026年4月8日（受信者からの連絡）／2026年4月9日（過去メール確認で3月分が判明）
報道日	2026年5月8日
対象組織・業界	オリエンタル群馬（群馬県立敷島公園の管理運営）／指定管理・公共施設運営
事象	出店募集案内メールで送信先を宛先欄に設定し、受信者間でアドレスが閲覧可能な状態に
影響件数	3月5日分44件／4月8日分43件（4月8日分は3月5日分に含まれる）
情報源	Security NEXT（2026年5月8日） / Security NEXT（2026年4月28日・群馬県の公表）

※ 群馬県の公表（2026年4月28日）では、敷島公園の指定管理者は「敷島パークマネジメントJV」と表記されています。本記事は運営主体の表記としてオリエンタル群馬を用いていますが、両者は同一の指定管理業務を指しています。

概要

群馬県立敷島公園の管理運営を担うオリエンタル群馬は、自主事業にともなう出店募集の案内メールを関係事業者に送信した際、送信先を誤って宛先欄に設定し、受信者どうしが互いのメールアドレスを閲覧できる状態になったことを公表しました。

最初に判明したのは2026年4月8日に送信した43件分です。同日、受信した事業者からの連絡により誤送信が発覚しました。

同社が翌4月9日に過去の送信メールを確認したところ、2026年3月5日にも同様の誤送信が44件に対して発生していたことが判明しています。3月5日の44件には、4月8日の43件が含まれています。つまり、同じ事業者群に対して1カ月の間隔をおいて2回、同じ誤りが繰り返されていたことになります。

同社は対象事業者に対し、電話とメールで謝罪するとともに、誤送信したメールの削除を依頼しました。

経緯

• 2026年3月5日: 関係事業者44件に対し、案内メールを送信。この際、送信先を宛先欄に設定（この時点では発覚せず）
• 2026年4月8日: 自主事業にともなう出店募集の案内メールを関係事業者43件に送信。同様に宛先欄へ設定
• 2026年4月8日: 受信した事業者からの連絡により、誤送信が発覚
• 2026年4月9日: 過去の送信メールを確認したところ、3月5日にも同様の誤送信が発生していたことが判明
• 対象事業者へ電話とメールで謝罪し、誤送信メールの削除を依頼
• 2026年5月8日: Security NEXTが報道

原因

公表されている原因は、一斉送信の際に本来BCCに設定すべきアドレスを宛先欄に設定したことです。外部からの攻撃やシステムの不具合によるものではありません。

考えられる原因（推測）: 同じ事業者リストに対して1カ月の間隔をおいて2回同じ誤りが起きている点からは、これがその日限りの不注意ではなく、送信手順そのものに組み込まれた誤りであった可能性が考えられます。宛先リストを一度作成し、次回以降は過去の送信メールを転送・複製して使い回す運用であれば、最初の1回の設定誤りが、そのまま次回にも引き継がれます。

3月5日の誤送信が当時発覚しなかった点も、同じ推測を補強します。受信者にとって、案内メールの宛先が並んでいることは必ずしもすぐに気づく事象ではなく、2回目でようやく指摘に至ったという経過は、この種の事故が発覚するまでの実態をよく表しています。いずれも推測であり、公表されているのは宛先設定の誤りという事実までです。

対策

組織が学ぶべきこと

1. 「1件見つかったら過去を遡る」を、初動の標準手順にする

この事案で3月5日の誤送信が判明したのは、同社が翌日に過去の送信メールを確認したためです。この確認を行わなければ、44件分の誤送信は公表されないまま終わっていました。誤送信が判明したときの初動は、対象者への謝罪と削除依頼だけでは足りません。同じ宛先リスト・同じ送信手順で過去に送った履歴を洗うところまでを、あらかじめ手順として決めておく必要があります。

2. 使い回される送信テンプレートは、誤りも使い回す

事業者向けの定期連絡は、過去のメールを複製して文面と宛先を流用する形で作られることが多くあります。この運用は作業効率という点では合理的ですが、設定の誤りも同時に複製されます。一度作った送信の型が正しいことを誰も検証しないまま、回を重ねるごとに配信件数だけが増えていく——本件の構造はここにあると考えられます。テンプレートを新規作成する際に一度だけ第三者が確認する工程を置けば、複製の連鎖は断てます。

3. 指定管理・公共施設運営の事業者は、二つの説明責任を負う

公の施設を運営する事業者は、事業者としての説明責任に加え、施設を設置した自治体に対する報告責任を負います。事故の公表主体・報告経路・報告期限が、指定管理協定のなかで具体的に定められているかは、事故が起きてから確認するのでは遅い項目です。運営を委ねる側も、委ねられる側も、この線をあらかじめ引いておく必要があります。

ヤグラの視点 — 影響範囲の特定：「44件のうち43件は2回目だった」と言えたことの意味

メールの宛先欄に何を入れるかは送信者の操作であり、ここで書けるのは業務手順と初動設計の話に限られます。

そのうえで評価すべきなのは、この組織が発覚の翌日に過去メールを遡って確認し、1カ月前の44件を自ら見つけて公表したという点です。当日指摘を受けたのは4月8日の43件だけでした。そこで対応を終えていれば、外部からは何も見えないまま3月分は埋もれていたはずです。

インシデント対応の質は、被害の大きさではなく、「どこまでやられたか」を自分の言葉で説明できるかどうかで決まります。指摘された1件だけを直して報告する組織と、同じ手順で過去に何が起きたかを洗って報告する組織とでは、公表される件数は後者のほうが多くなります。件数が増えることは、対応が悪かったことを意味しません。むしろ逆で、件数が動かない報告のほうが、調べていない可能性を疑うべきです。

この事案が示しているのは、影響範囲の特定が「調べようという判断」から始まるという単純な事実です。技術的な侵害であればログの保全と解析が必要になりますが、誤送信の場合、遡るべき対象は自分たちの送信済みフォルダです。特別な道具は要らず、必要なのは、指摘された1件を氷山の一角として扱う姿勢だけです。

そしてこの姿勢は、事故が起きてから発揮されるものではありません。「誤送信が判明したら、同一リスト・同一手順の過去送信を確認する」という一行が対応手順書に書かれているかどうかで、実際に遡るかどうかは決まります。手順に書かれていないことは、混乱している最中には思いつきません。

今後の対応

オリエンタル群馬は対象事業者への電話・メールによる謝罪と、誤送信メールの削除依頼を完了しています。一斉送信業務の手順見直しに関する追加公表が想定されます。

更新履歴

日時	内容
2026-05-08	初稿公開（報道日時点）
2026-08-07	群馬県による同一事案の公表（2026年4月28日報道）を出典に追加し、指定管理者の表記差について注記（batch37）