宮城県、みやぎポイント事業の店舗向けメールで1通だけ宛先設定を誤る — 3632店中100店舗のアドレスが露出

項目	内容
発生日	2026年4月30日
発覚日	2026年4月30日（送信数分後）
県への報告	2026年5月1日
公表日	2026年5月25日
対象組織・業界	宮城県／自治体
事象	委託先による一斉送信メールの宛先設定の誤り
委託先	ユーメディア
情報源	Security NEXT（2026年5月25日）

概要

宮城県は2026年5月25日、「みやぎポイント事業」の参加店舗向けメールにおいて、送信先の設定を誤るミスがあったことを公表しました。

送信を担当したのは業務委託先のユーメディアです。参加店舗3632店に対し、100件ずつ送信先をBCCに設定して分割送信していましたが、そのうちの1通で誤って送信先を「宛先」に設定しました。その結果、100店舗のメールアドレスが受信者間で閲覧できる状態となり、うち1件は表示名も含まれていました。

経緯

• 2026年4月30日: 委託先が参加店舗向けの案内メールを100件ずつBCCで分割送信。そのうち1通で送信先を宛先に設定
• 同日（数分後）: 委託先が誤りに気づく
• 2026年5月1日: 県へ報告
• 対象店舗へメールで経緯の説明と謝罪を実施し、誤送信メールの削除を依頼
• 2026年5月25日: 公表

原因

県は、一斉送信の際に送信先をBCCではなく宛先に設定したことを原因として公表しています。3632店を100件ずつ分割して送信する運用のなかで、1通のみ設定を誤ったものです。

考えられる原因（推測）

以下は公表された事実からの推測であり、県・委託先のいずれかが公表したものではありません。

同じ操作を約37回繰り返す作業であったことが、この事案の構造を説明していると考えられます。3632件を100件ずつ分割すると、送信回数は37通前後になります。1通ごとに「宛先リストを貼り付ける → BCC欄であることを確認する → 送信する」という手順を繰り返す作業では、回数が増えるほど確認が形骸化し、途中で1回だけ手順が飛ぶ確率が上がります。すべてのミスが同じ確率で起きるのではなく、反復作業の途中で1回だけ起きる——これが、本件が「37通中1通」という形になった理由と考えられます。

宛先欄への貼り付けが1回だけ発生した背景としては、テンプレートメールの複製時にBCC欄の内容が引き継がれず、手作業で入力し直す場面があった可能性、あるいは分割リストの切り替え時に貼り付け先のフォーカスがずれた可能性などが考えられます。いずれも推測であり、公表された事実は1通で宛先設定を誤ったことまでです。

対策

組織が学ぶべきこと

1. 反復作業は、注意力ではなく回数の関数として失敗する

本件で委託先は、正しい手順を36回実行し、1回だけ誤りました。これは注意力の欠如というより、手作業の反復に内在する確率です。同じ作業を37回繰り返す設計を選んだ時点で、1回失敗する可能性は業務に織り込まれています。対策として「注意を徹底する」を掲げても、次回また37回の反復が発生すれば、同じ確率が再び現れます。手作業の回数そのものを減らす——メール配信サービスによる個別送信への切り替えが、この類型に対する根本策です。

2. 委託先の送信手順は、委託元の情報取り扱い設計そのもの

本件の送信作業は委託先が実施していますが、露出したのは県の事業に参加する店舗の情報であり、説明責任を負うのは県です。委託契約において「個人情報を適切に管理すること」とだけ定めていた場合、どのような手段で一斉送信を行うかは委託先の裁量に委ねられます。数千件規模の一斉配信を伴う業務では、配信方式（配信サービスの利用可否、手作業送信の禁止、テスト送信の義務づけ）まで仕様に落としておくことが、実効的な管理になります。

3. 数分で気づき、翌日に報告した初動は評価できる

委託先は送信の数分後に誤りに気づき、翌5月1日に県へ報告しています。誤送信事案では、委託先が自らのミスを委託元へ上げるまでに日数を要する例が珍しくありません。数分での自己検知と、翌日の報告は、委託関係における事故報告としては良好な部類です。この速度があったからこそ、対象店舗への説明と削除依頼を早期に開始できています。

ヤグラの視点 — 勝ちパターンの条件：被害が100件で止まったのは、偶然ではない

委託先の担当者が宛先欄に貼り付ける操作を、技術で止める手段はありません。ここで書けるのは、業務設計が事故の大きさをどう決めたかという話に限られます。

そのうえで、本件には他の誤送信事案とは違う読み方ができます。この事故は、3632件になりえたものが100件で止まった事例だという読み方です。

もし委託先が3632件を1通にまとめて送信していれば、宛先設定を1回誤った瞬間に、参加店舗全件のメールアドレスが全店舗に露出していました。実際に起きたのは、100件ずつ37通に分割していたために、被害が全体の約2.8%に限定されたという結果です。

分割送信という手順は、おそらく情報漏えい対策として選ばれたものではありません。大量送信によるスパム判定の回避、送信サーバの制限、配信状況の確認しやすさ——そうした実務上の理由で採られた運用だと考えるのが自然です。しかし結果として、それが被害範囲を1/36に抑える隔壁として機能しました。

ここから引き出せる原則は、セキュリティ設計の基本そのものです。「失敗しない設計」より、「失敗したときに壊れる範囲を区切る設計」のほうが、実際の被害に効く。 ネットワークのセグメント分割、権限の分離、バックアップの世代管理、システムの疎結合化——いずれも同じ思想です。ミスや侵害の発生確率をゼロにはできない以上、1回の失敗が到達できる範囲をあらかじめ狭めておくことが、最終的な被害の大きさを決めます。

本件で県と委託先が次に取るべき手は、分割送信をやめて配信サービスに移行することです。ただしその際も、「一度の操作ミスで到達する範囲はどこまでか」という問いを設計に残しておくべきです。配信サービスに移行しても、宛先リストの選択を誤れば全件に届きます。隔壁は、手段を変えても引き直す必要があります。

今後の対応

県および委託先は対象店舗への説明・謝罪と削除依頼を完了しています。二次的な被害は報告されていません。

更新履歴

日時	内容
2026-05-25	初稿公開（公表日時点）