JAPANサッカーカレッジ、学校説明会の案内メールを誤送信 — 入学検討者516人分のメールアドレスが相互閲覧可能に

項目	内容
発生日	2026年5月22日
公表日	2026年6月3日
対象組織・業界	JAPANサッカーカレッジ（サッカー総合専門学校）
事象	メール誤送信（送信先のメールアドレスを誤って宛先に設定）
対象件数	入学検討者516人分のメールアドレス
情報源	Security NEXT（2026年6月3日）

概要

サッカー総合専門学校のJAPANサッカーカレッジは2026年6月3日、学校説明会の案内メールで誤送信が発生したことを公表しました。

2026年5月22日、同校が学校説明会の案内メールを送信した際、送信先のメールアドレスを誤って宛先に設定したため、受信者間でメールアドレスが閲覧できる状態となりました。閲覧可能となったのは、入学検討者516人分のメールアドレスです。

同校は対象者への謝罪を実施し、誤送信したメールの削除を依頼しています。

経緯

• 2026年5月22日: 学校説明会の案内メールを送信。送信先のメールアドレスを誤って宛先に設定
• 入学検討者516人分のメールアドレスが受信者間で閲覧できる状態に
• 対象者への謝罪を実施し、誤送信メールの削除を依頼
• 2026年6月3日: 公表

原因

原因は送信操作時の宛先設定の誤りです。本来はBCC等に設定すべき送信先を宛先欄に入れたため、受信者全員が他の受信者のアドレスを見られる状態になりました。攻撃者は介在しておらず、システムの脆弱性も関与していません。

考えられる背景（推測）: 学校説明会の案内は、資料請求やオープンキャンパス申込で取得した見込み者リストに対して、開催日程に合わせて一斉配信する性質の業務です。募集広報の現場では、配信のタイミングが応募数に直結するため、締切直前の短時間で数百件規模の送信が発生しやすくなります。専用の配信ツールを使わず、通常のメールソフトで宛先欄にアドレスを貼り付ける運用が残っていた場合、送信ボタンを押した瞬間に事故が確定し、取り消しはできません。一般に、この種の誤送信は「担当者の注意不足」ではなく、一斉配信を宛先欄で実行できてしまう運用そのものに起因すると考えられます。

対策

組織が学ぶべきこと

1. 入学検討者のリストは「まだ在校生でない人」の情報である

漏えいしたのは在校生ではなく、入学を検討している段階の516人分のメールアドレスです。在校生の情報と異なり、この人たちは学校に対して何の関係も持たない選択をする自由があり、「この学校を検討している」という事実自体が、本人にとって知られたくない情報である場合があります。同じ説明会に申し込んだ他の受験生に自分のアドレスが見えるという状況は、進路検討の秘匿性を損ないます。件数だけを見て「アドレスのみだから軽微」と評価すると、この性質を見落とします。

2. 一斉配信は「宛先欄では送れない」構造にする

BCCの使い方を教える対策と、宛先欄に複数アドレスを入れられないようにする対策は、まったく別物です。前者は人の注意力に依存し、後者は構造で防ぎます。数十件を超える定型配信を、メール配信システムや差込送信（1通ずつ個別送信）に寄せてしまえば、設定ミスの成立余地そのものが消えます。募集広報のように配信が季節的に集中する業務では、繁忙期に手作業へ戻らない仕組みであることが特に重要です。

3. 発生から公表までの12日間に何をしたか

5月22日の発生に対し、公表は6月3日です。この間に対象者への謝罪と削除依頼は実施されています。個別対応を先に済ませる判断は妥当ですが、公表時点では「なぜこの期間を要したか」「その間に二次的な悪用の兆候はなかったか」まで説明できる状態にしておくと、対象者と保護者の納得度は変わります。特に入学検討者は、学校の対応品質を進路選択の判断材料として見ています。

ヤグラの視点 — 攻撃者のいないインシデント：送信ボタンは「取り消せない不可逆操作」である

外部からの攻撃も、マルウェアも、脆弱性の悪用も、認証情報の窃取も関与していません。宛先欄にアドレスを入れて送信ボタンを押した、という一つの操作だけで事故が完結しています。ファイアウォールもEDRもメール訓練も、この操作を止められません。

攻撃者がいないインシデントには、攻撃者がいるインシデントと決定的に違う性質があります。封じ込めの余地がほぼないということです。不正アクセスであれば、検知してから通信を遮断し、認証情報を無効化し、被害の拡大を止められます。侵入から検知までの時間を短縮すれば、被害は小さくなります。しかし誤送信では、送信ボタンを押した瞬間に516件が516人の受信箱へ到達し、そこから先にできるのは削除の依頼だけです。削除するかどうかは受信者が決めます。時間軸上に「止める」という選択肢が存在しないのです。

したがって、この種の事案に対する投資判断は、検知や封じ込めの側ではなく操作が成立しないようにする側に置くべきです。人の注意力を上げる方向の対策には限界があります。1回の誤操作確率を仮に0.1%まで下げられたとしても、年間に数百回の一斉配信を行う組織では、いずれ確実に起こります。逆に、宛先欄に複数アドレスを入れられない配信基盤へ移せば、確率は0%になります。前者は継続的な教育コストがかかり続け、後者は一度の移行で終わります。

前提に置くべきなのは「人は騙されるし、間違える」という事実です。ただしその先の処方は、事案の性質によって分岐します。騙される事案（フィッシング・BEC・サポート詐欺）には、報告経路を短くして封じ込めを速くするアプローチが効きます。間違える事案には、間違いようのない道具を渡すアプローチしか効きません。 誤送信を「セキュリティ意識の問題」として扱い続けている組織は、この分岐を取り違えている可能性があります。

今後の対応

同校は対象者への謝罪と誤送信メールの削除依頼を完了しています。再発防止策の具体的な内容は公表されていません。漏えいしたのはメールアドレスのみですが、入学検討者を対象としたフィッシングや、学校を装った連絡に悪用されるリスクは残るため、対象者側での不審メールへの注意が引き続き必要です。

更新履歴

日時	内容
2026-08-06	初稿公開（2026年6月3日公表時点の情報）