宮崎県産業振興機構、賛助会員向けメールで宛先を誤設定 — 88社分のアドレスが相互に閲覧可能、うち49件は担当者個人のアドレス

項目	内容
発生日	2026年5月19日
公表日	2026年6月9日
対象組織・業界	宮崎県産業振興機構（中小企業支援機関）
事象	賛助会員向け情報提供メールで送信先アドレスを宛先欄に誤設定
影響件数	賛助会員88社分のメールアドレス（うち49件は担当者個人のアドレスの可能性）
情報源	Security NEXT（2026年6月9日）

概要

宮崎県産業振興機構は、2026年5月19日、賛助会員向けの情報提供メールを送信する際に、送信先のメールアドレスを誤って宛先に設定するミスが発生したことを明らかにしました。

対象となったのは賛助会員88社で、受信者間でそれぞれのメールアドレスが閲覧できる状態となりました。同機構の説明によれば、このうち49件は担当者個人のメールアドレスである可能性があるとしています。

経緯

• 2026年5月19日: 賛助会員88社に対して情報提供メールを送信。この際、送信先のメールアドレスを誤って宛先に設定
• 同日（誤送信から約2時間後）: メールで謝罪し、該当メールの削除を依頼
• 2026年5月20日: 電話で改めて謝罪
• 2026年6月9日: 事案を公表

原因

同機構の説明によれば、原因はメール送信時に送信先のメールアドレスを誤って宛先欄に設定したことです。本来は受信者相互にアドレスが見えない形（BCC）で送るべき一斉案内を、受信者相互に可視となる宛先欄に入力したため、88件のアドレスが相互に閲覧できる状態になりました。

考えられる原因（推測）: 会員向け一斉案内での宛先取り違えは、(a) 会員名簿からアドレスを一括コピーする際に貼り付け先の欄を誤る、(b) メールソフトの初期状態でBCC欄が非表示になっており、意図せずTO/CCに入る、(c) 前回配信のメールを流用した際に宛先設定だけが引き継がれない、といった経路が典型です。本件は送信から約2時間後に気づいて削除依頼まで進んでいることから、送信操作そのものの誤りに比較的早期に思い至ったパターンと考えられます。

対策

外部からの攻撃は介在しておらず、防御の起点は業務プロセスの設計と、送信操作に対する仕組み側の制約に置かれます。

組織が学ぶべきこと

1. 「49件は担当者個人のアドレス」という説明の重さ

本件で見落としてはならないのは、漏えいしたのが法人の代表アドレスだけではなく、うち49件が担当者個人のメールアドレスである可能性が明示されている点です。法人の問い合わせ窓口アドレス（info@ 等）が相互に見えることと、個人名を含む担当者アドレスが見えることは、意味が異なります。後者は氏名と所属企業の対応関係を第三者に開示することに等しく、標的型メールの宛先リストとしての価値も高まります。件数だけで軽重を判断せず、アドレスの性質まで踏み込んで説明した点は評価できますが、それは同時に本件の実質的な影響が単なる「アドレス88件」より重いことを意味します。

2. 支援機関の会員リストは「属性情報」でもある

賛助会員リストは、「その機関の支援制度に関心を持ち、会費を負担している事業者の一覧」という属性情報です。同一地域の事業者同士は競合関係にあることも珍しくなく、どの企業が支援機関とつながっているかが相互に可視化されることには、単なるアドレス露出を超えた意味があります。中小企業支援機関・商工団体・業界団体が一斉配信を扱う際は、この文脈上のセンシティビティを前提に配信手段を選ぶ必要があります。

3. 対策は注意喚起ではなく仕組み側の制約に置く

一斉配信での宛先誤りは、行政・団体・企業を通じて最も件数の多い漏えい類型のひとつです。「BCCを使うべき」という知識を持たない担当者はほとんどいません。それでも起き続けるのは、知識の欠落ではなく操作の一瞬の取り違えが原因だからです。したがって実効性のある対策は、研修の追加ではなく、(1) 一定件数以上の宛先をTO/CCに入れた時点で送信をブロックする、(2) 会員向け一斉配信を専用の配信ツール経由に限定し、個別メールソフトからの一斉送信を業務上禁止する、といった仕組み側の制約です。

ヤグラの視点 — 訓練で防げた分岐点：「知っている」と「手が動く」の間にある溝

セキュリティ教育の設計で最も見落とされるのは、知識として知っていることと、実際の業務動線でその知識が発動することの間にある溝です。本件の担当者が「一斉配信はBCCで」というルールを知らなかった可能性は、まず考えにくいでしょう。それでも起きたのは、知識が問われる瞬間が「研修を受けているとき」ではなく「88社分のアドレスを名簿から貼り付けて、他の業務に追われながら送信ボタンを押すとき」だからです。

この溝を埋める方法は二つしかありません。ひとつは、その瞬間に人の判断を必要としない仕組みにすること。もうひとつは、その瞬間そのものを訓練の対象にすることです。年1回の座学で「BCCを使いましょう」と伝えるのではなく、実際の業務フローの中で誤りが起きやすい操作を特定し、そこを繰り返し体験させる設計に切り替える必要があります。誤送信のように「知識があっても手が滑る」類型では、知識を増やす訓練より、危険な操作の直前で立ち止まる習慣を身体に入れる訓練のほうが効果を持ちます。

そしてもう一点。本件で被害が拡大しなかったのは、担当者が約2時間で気づき、その日のうちに削除依頼まで完了させたからです。誤送信は「起きたかどうか」ではなく「気づいてから初動までの時間」で被害規模が決まります。この2時間を偶然の幸運ではなく再現可能な標準にすることが、組織側の宿題です。

今後の対応

同機構は当日のメール謝罪・削除依頼と翌日の電話謝罪を完了しており、現時点で二次利用の報告はありません。同種の会員向け一斉案内を扱う支援機関・業界団体においても、宛先欄の設定確認と一斉配信手段の見直しを図る契機となる事案です。

更新履歴

日時	内容
2026-08-05	過去アーカイブとして記事化（キュレーション）