岡山県、プラスチック3R宣言事業者413件へのメールを宛先欄で一斉送信 — うち167件は個人名を含むアドレス

項目	内容
発生日	2026年4月24日11時半ごろ
判明日	2026年4月24日（受信事業者からの指摘）
公表日	2026年5月11日
対象組織・業界	岡山県（おかやまプラスチック3R宣言事業所制度）／自治体
事象	一斉送信メールで413件のアドレスを宛先欄に設定し、受信者間で閲覧可能な状態に
影響件数	メールアドレス413件（うち167件は個人名を含む）
情報源	Security NEXT（2026年5月11日）

概要

岡山県は2026年5月11日、「おかやまプラスチック3R宣言事業所」に登録している事業者に対して確認メールを送信した際、413件のメールアドレスを宛先欄に設定して一斉送信し、受信者どうしが互いのアドレスを閲覧できる状態になったことを公表しました。

送信されたのは、プラスチックの排出抑制・再利用への取り組みを宣言している事業者に対し、宣言内容の変更の有無を確認する内容のメールです。2026年4月24日11時半ごろに送信され、同日中に受信した事業者からの指摘により誤りが判明しました。

アドレス413件のうち、167件は個人名を含む形式でした。岡山県は対象事業者にメールで謝罪し、誤送信したメールの削除を依頼しています。

経緯

• 2026年4月24日11時半ごろ: 「おかやまプラスチック3R宣言事業所」の登録事業者413件に対し、宣言内容の変更有無を確認するメールを送信。この際、全アドレスを宛先欄に設定
• 2026年4月24日: 受信した事業者からの指摘により、誤送信が判明
• 対象事業者へメールで謝罪し、受信メールの削除を依頼
• 2026年5月11日: 岡山県が公表

原因

公表されている原因は、一斉送信の際に本来BCCに設定すべきアドレスを宛先欄に設定したことです。外部からの攻撃やシステムの障害によるものではありません。

考えられる原因（推測）: 制度登録者への一斉連絡は、宛先リストを表計算ソフトなどから貼り付けて作成されることが多く、貼り付け先のフィールドをBCC欄から宛先欄へ取り違えるのは、操作としては一度のクリック位置の違いにすぎません。送信前の確認画面でも、413件が並んだ状態では宛先欄とBCC欄のどちらに入っているかを目視で判別しにくくなります。

また、アドレスのうち167件が個人名を含む形式だった点は、この制度の登録者に個人事業主や小規模事業者が多く含まれていたことを示唆します。「事業者向けの連絡だから個人情報ではない」という前提が置かれていた場合、送信前チェックの優先度が下がっていた可能性も考えられます。いずれも推測であり、公表されているのは宛先設定の誤りという事実までです。

対策

組織が学ぶべきこと

1. 「事業者向け」であっても、アドレスは個人情報になりうる

今回の413件は、いずれも事業者宛ての連絡先です。しかしそのうち167件には個人名が含まれていました。個人事業主・小規模事業者・団体の担当者個人が登録するケースでは、法人宛リストと個人情報リストの境界は実務上存在しません。「BtoBの一斉送信だから配慮不要」という運用上の暗黙の線引きは、登録データの実態を確認せずに引かれていることが多く、この線引き自体が事故の温床になります。

2. 一斉送信は例外業務ではなく、定常業務として設計する

制度の登録者への確認連絡は、年に何度も発生する定常業務です。にもかかわらず、多くの組織で一斉送信は「通常のメール送信を、宛先を増やして行うもの」として扱われ、専用の手順や道具が用意されていません。送信件数が3桁に達する連絡を通常のメーラーで行う限り、宛先欄への設定ミスは確率の問題になります。メール配信システムや差し込み送信機能を使い、1通1宛先が構造的に保証される道具に業務を載せ替えることが、最も確実な予防策です。

3. 発見が「受信者からの指摘」に依存している状態を直視する

この事案は、送信当日に受信事業者からの連絡で判明しました。結果として発覚は早かったものの、気づいたのは組織の外側です。誤送信は送信側の画面上では成功として表示されるため、自ら検知する仕組みがなければ、指摘が来るかどうかで発覚の早さが決まります。送信後一定時間の保留機能や、宛先件数が閾値を超えた送信の管理者承認といった仕組みは、この依存を減らします。

ヤグラの視点 — 訓練で防げた分岐点：BCCを知らない職員はいない。それでも起きる

メールの宛先欄に何が入っているかを判断できるのは送信者だけであり、ここで書けるのは業務プロセスと教育の設計に限られます。

そのうえで確認しておきたいのは、この事故が知識の欠如で起きたものではないという点です。一斉送信でBCCを使うべきことを知らない職員は、実務上ほとんど存在しません。それでも誤送信は毎月どこかの組織で公表され続けています。つまり、この領域では「知っているかどうか」と「その瞬間にできるかどうか」が完全に分離しています。

知識と行動が分離するのは、ミスが起きる瞬間の条件が特殊だからです。413件のアドレスを貼り付け、文面を確認し、上長の了解を取り、送信する——この一連の流れのなかで、宛先欄を見る時間は数秒しかありません。しかもその数秒は、作業がほぼ終わったという安堵とともに訪れます。研修で「BCCを使いましょう」と伝えることは、この数秒の中身を変えません。

変えられるとすれば、二つの方向があります。ひとつは、その瞬間を演習として再現することです。実際の業務フォーマットで、実際の件数で、送信直前に何を見るのかを手を動かして確認する。座学ではなく、業務そのものの形をした演習でなければ、この数秒には届きません。

もうひとつは、その数秒を業務から取り除くことです。1通1宛先が構造的に保証される道具を使えば、判断そのものが不要になります。人の注意力に依存する工程は、注意力を高める努力よりも、工程を消す設計のほうが確実です。

前提に置くべきなのは、「人は騙されるし、間違える」という事実です。間違えない人を育てる方向に投資を集中させるのではなく、間違えても被害が出ない工程に業務を載せ替えること。教育はその工程が使えない場面のために残す。この順序を逆にすると、注意喚起の通知だけが積み上がり、事故の発生率は変わりません。

今後の対応

岡山県は対象事業者への謝罪と誤送信メールの削除依頼を完了しています。同種の一斉送信業務における再発防止策の公表が想定されます。

更新履歴

日時	内容
2026-05-11	初稿公開（公表日時点）