兵庫県立大学、イベント当選通知メールで誤送信 — 学生23人分のメールアドレスが相互閲覧可能に

項目	内容
発生日	2026年6月2日
公表日	2026年6月19日
対象組織・業界	兵庫県立大学（教育）
事象	メール誤送信（送信先を誤って宛先に設定）
影響件数	学生23人分のメールアドレス
情報源	Security NEXT（2026年6月19日）

概要

兵庫県立大学は2026年6月19日、学生向けイベントの当選通知メールで誤送信が発生したことを公表しました。

「花びら写経体験と好古園散策ツアー」というイベントの当選通知メールを送信した際、送信先を誤って宛先（To）に設定したため、受信者間で他の受信者のメールアドレスが閲覧できる状態となりました。閲覧可能となったのは、学生23人分のメールアドレスです。

誤送信は送信直後に担当者が自ら気づき、翌6月3日に対象学生へ謝罪して誤送信メールの削除を依頼しています。

経緯

• 2026年6月2日: イベント当選通知メールを送信。送信先を誤って宛先に設定。送信直後に担当者が気づく
• 2026年6月3日: 対象学生23人へ謝罪し、誤送信メールの削除を依頼
• 2026年6月19日: 公表

原因

一斉配信すべき当選通知を、BCC等ではなく宛先（To）に設定して送信したことが原因です。攻撃者の関与はなく、送信操作時の設定ミスによる露出です。

考えられる原因（推測）: イベントの当選通知は、応募者リストから当選者を抽出して一斉配信する定型業務です。件数が23人という手作業で扱える規模だったことが、かえってメール配信システムを介さない「メーラーへの直接入力」を招いた可能性が考えられます。数十件規模の一斉配信は、システム化のコストが正当化されにくい一方、宛先設定を人が毎回判断するため、事故率は下がりません。

対策

組織が学ぶべきこと

1. 「学生のメールアドレス」の露出は連絡網の露出でもある

23件という件数は小さく見えますが、露出したのは「同じイベントに当選した学生23人」という属性つきのリストです。学生同士が互いのアドレスを知る状態が生まれ、そこから第三者へ転送される可能性も残ります。件数の小ささは、対象者にとっての重みを軽くしません。

2. 一斉配信の規模に関わらず、宛先設定は人の判断から外す

数十件規模だからメーラーで足りる、という判断が誤送信の温床になります。件数を基準に運用を分けるのではなく、「複数の外部宛先に同じ本文を送る」という行為そのものを配信システム側に寄せる設計が、事故の成立余地を消します。

3. 送信取消機能に頼らない

送信直後に気づいた場合、メールソフトの送信取消（リコール）機能を使いたくなりますが、この機能は相手のメール環境によって動作が異なり、かつ取消操作そのものが新たな露出を生むケースが報告されています（同時期に別の自治体施設で、取消操作によって誤送信が再発した事例が公表されています）。本件で同大が取った「謝罪して削除を依頼する」という選択は、確実性の面で妥当です。

ヤグラの視点 — クリック率でなく報告率を：担当者が自分の事故を隠さなかったこと

送信操作の設定ミスであり、技術的な防御層はどこにも介在しません。しかし本件には、他の誤送信事案と比べて明確に評価すべき点があります。誤送信に気づいたのが送信した担当者本人であり、翌日には対象者への謝罪と削除依頼が完了しているという点です。

自分のミスを、その日のうちに上に上げる。当たり前のようで、これが最も起きにくい行動です。誤送信・添付ファイルの誤り・不審メールのクリック——いずれも報告すれば自分が責められる構造があると、人は「相手が気づかなければ問題にならない」方向に傾きます。そして誤送信は、まさに相手が指摘しなければ表面化しない事故です。実際、他の誤送信事案では受信者からの指摘で初めて判明したケースが多数あります。

ヤグラが訓練の評価指標として「クリック率」よりも報告率を重視するのは、この構造があるからです。訓練メールを何%の従業員がクリックしたかは、攻撃の巧妙さが上がれば下がりません。生成AIによって違和感のない日本語の攻撃メールが量産される時代に、クリックしない従業員を増やす戦略には限界があります。代わりに測るべきは、引っかかった人・間違えた人が、どれだけ速く申告できたかです。報告率を指標に置くと、組織は自然と「報告した人を責めない」設計に向かいます。逆にクリック率を追うと、失敗を隠す圧力が生まれます。

本件の担当者が即座に気づき翌日に対応まで進めた事実は、この組織に報告が通る土壌があったことを示唆します。防げなかった事故に対する評価軸として、これは軽くありません。→ ヤグラ アウェアネス

今後の対応

同大は対象学生への謝罪と削除依頼を完了しています。露出したのはメールアドレスのみであり、追加の被害拡大は限定的と見られます。同種の一斉配信業務における宛先設定の運用見直しが焦点です。

更新履歴

日時	内容
2026-08-03	初稿公開（2026年6月19日公表時点の情報）