新潟県、県立高校の卒業生向け「進路だより」でCC誤設定 — 卒業生101人のメールアドレスが相互に閲覧可能に

項目	内容
発生日	2026年5月21日
公表日	2026年6月5日
対象組織・業界	新潟県（県教育委員会／県内高校。学校名は非公表）
事象	卒業生向け「進路だより」の配信で送信先アドレスをCC欄に誤設定
影響件数	卒業生101人分のメールアドレス
情報源	Security NEXT（2026年6月5日）

概要

新潟県は2026年6月5日、県内の高校が卒業生に向けて配信した「進路だより」のメールにおいて、送信先のメールアドレスを誤って「CC」に設定したことを公表しました。

対象となったのは卒業生101人で、受信者間でそれぞれのメールアドレスが閲覧できる状態となりました。漏えいしたのは卒業生101人分のメールアドレスです。

県教育委員会は県内の高校に対し、外部へメールを送信する際はチェックシートを用いて送信先や内容を確認するよう指導しました。

経緯

• 2026年5月21日: 県内高校が卒業生101人に「進路だより」をメール配信。この際、送信先のメールアドレスを誤ってCC欄に設定
• 受信者間でそれぞれのメールアドレスが閲覧できる状態となる
• 県教育委員会が県内の高校に対し、外部へのメール送信時にチェックシートを用いて送信先や内容を確認するよう指導
• 2026年6月5日: 事案を公表

原因

原因はメール送信時に、本来BCC欄に入れるべき送信先のメールアドレスをCC欄に設定したことです。CC欄に入力されたアドレスは受信者全員に表示されるため、101件のアドレスが相互に閲覧できる状態になりました。

考えられる原因（推測）: BCCではなくCCに入ってしまう経路としては、(a) メールソフトの画面上でCC欄とBCC欄が隣接しており、貼り付け先を一段間違える、(b) BCC欄が初期状態で非表示になっており、表示させる操作を経ずにCCへ入力する、(c) 卒業生名簿からアドレスを一括コピーする過程で、先にCC欄をクリックしていた、といったパターンが典型です。本件は卒業生という「すでに在校していない、連絡手段がメールしかない相手」への配信であり、在校生向けの配信システムや保護者向け連絡ツールではなく、担当教員が個別のメールソフトから直接送信する運用になっていた可能性が考えられます。ただしこれは公表事実からの推測であり、確定した原因ではありません。

対策

外部からの攻撃は介在しておらず、防御の起点は業務プロセスの設計と、送信操作に対する仕組み側の制約に置かれます。

組織が学ぶべきこと

1. 「卒業生101人のアドレス一覧」が持つ意味

漏えいしたのはメールアドレスのみですが、「同じ高校の同学年の卒業生101人」という属性がセットで露出している点には注意が必要です。多くの人は個人のプライベートなアドレスを実名に近い形（氏名のローマ字表記など）で設定しており、アドレス文字列から本人が推測できるケースは珍しくありません。卒業生同士は互いに面識がある関係であり、卒業後に連絡を取りたくない相手にアドレスが渡る、というプライバシー上の実害も想定されます。「アドレスだけ」「知り合い同士だから軽微」という評価は適切ではありません。

2. 進路情報の配信という文脈

「進路だより」は、卒業生に対して進学・就職に関する情報を提供するものです。この配信リストに載っていることは、「この学校の卒業生で、進路情報の提供を希望している人」という属性の開示にあたります。進路や就職の状況は本人にとって機微な領域であり、リストの存在自体が推測材料になり得ます。学校が卒業生と継続的に関わる業務では、この文脈上のセンシティビティを前提に配信手段を選ぶ必要があります。

3. 「チェックシートで確認」の限界を認識した上で使う

県教委が示した対策はチェックシートによる送信前確認です。これは着手しやすく、意識づけとして意味があります。しかしチェックシートは、確認する人が「確認しよう」と思った時にしか機能しません。誤送信が起きるのは注意を払っていない瞬間であり、まさにその瞬間にはチェックシートも省略されます。実効性を持たせるには、(1) 一定件数以上の宛先をTO/CCに設定した時点で送信をブロックする、(2) 卒業生向け配信を専用の一斉配信ツールに限定し、個別メールソフトからの一斉送信を業務上禁止する、といった仕組み側の制約を併用する必要があります。チェックシートは仕組みの代替ではなく、仕組みの上に載せる補助です。

ヤグラの視点 — クリック率ではなく報告率で測る：ミスを言い出せる学校であったか

本件の公表資料から読み取れないことが一つあります。誰が、いつ、この誤送信に気づいたのかです。送信した教員が自ら気づいたのか、受信した卒業生からの連絡で判明したのか、記載がありません。しかし対応の質を決めるのは、実はこの一点です。

誤送信の被害規模は「起きたかどうか」ではなく「気づいてから初動までの時間」で決まります。そして初動までの時間を最も長く引き延ばすのは、技術的な要因ではなく「言い出しにくさ」です。学校現場では、教員個人のミスが管理職への報告、教育委員会への報告、対象者への謝罪という段階を経ることになり、報告の心理的コストは決して低くありません。「まず自分で状況を確認してから」「保護者からの問い合わせが来なければ様子を見よう」——こうした判断の一つひとつが、初動を数時間から数日へと延ばします。

だからこそ、組織が測るべき指標は「ミスの件数」ではなく「ミスが何分で報告されたか」です。ミスの件数をKPIにすると、現場は報告を抑制する方向に最適化します。報告までの時間をKPIにすると、現場は早く言い出す方向に最適化します。同じ事案でも、前者の組織では発覚が数日後になり、後者の組織では当日に削除依頼が完了します。

新潟県教委が全県の高校にチェックシートを指導したのは、再発防止として妥当な一手です。同時に必要なのは、「チェックシートを使ったのに間違えた」時に、それをその日のうちに上げられる空気があるかという点です。手続きを増やすことは、報告の心理的コストを上げる方向にも働き得ます。仕組みを足すときは、報告のハードルを同時に下げる設計が要ります。

今後の対応

新潟県教育委員会は県内の高校に対して送信前確認の指導を実施しており、現時点で二次利用の報告はありません。同種の卒業生向け・保護者向け一斉配信を扱う教育機関においても、配信手段の見直しを図る契機となる事案です。

更新履歴

日時	内容
2026-08-05	過去アーカイブとして記事化（キュレーション）