大阪市、医療機関向け補助金案内メールで誤送信 — メールアドレス111件が相互閲覧可能に

項目	内容
発生日	2026年6月3日
公表日	2026年6月22日
対象組織・業界	大阪市（自治体）
事象	メール誤送信（送信先を誤って宛先に設定）
情報源	Security NEXT（2026年6月22日）

概要

大阪市は2026年6月22日、医療機関向けの補助金手続きを案内するメールで誤送信が発生したことを公表しました。

同市が医療機関オンライン化支援事業補助金の手続きを案内するメールを送信した際、送信先を誤って宛先（To）に設定したため、受信者間で他の受信者のメールアドレスが閲覧できる状態となりました。閲覧可能となったのは、医療機関担当者の個人メールアドレス57件と組織のメールアドレス54件の合計111件です。

問題は同日中に、メールを受信した医療機関からの指摘によって判明しました。

経緯

• 2026年6月3日: 医療機関オンライン化支援事業補助金の案内メールを送信。送信先を誤って宛先に設定
• 同日: メールを受信した医療機関からの指摘により誤送信が判明
• その後、対象となる医療機関へ電話で説明・謝罪し、誤送信メールの削除を依頼
• 2026年6月22日: 公表

原因

送信先を本来はBCC等に設定すべきところ、誤って宛先（To）に設定したことが原因です。攻撃者は介在しておらず、送信操作時の設定ミスによる情報の露出です。

考えられる背景（推測）: 補助金の手続き案内は、締切に向けて対象施設に一斉配信する性質の業務です。宛先欄への直接入力で一斉配信を行う運用が残っていた場合、送信ボタンを押した瞬間に事故が確定し、取り消せません。一般に、この種の誤送信は「担当者の注意不足」ではなく、一斉配信を宛先欄で行える運用そのものに起因します。

なお、本件で露出したのは個人メールアドレス57件を含む111件であり、宛先には医療機関の担当者が含まれます。事業者間の連絡先リストが相互に見える状態になった点は、単なるアドレス漏えいを超えて「どの医療機関が補助金を申請しているか」という情報を推測させる可能性もあります。

対策

組織が学ぶべきこと

1. 一斉配信は「宛先欄で送れない」仕組みにする

BCCの使い方を教えることと、宛先欄に複数アドレスを入れられないようにすることは、まったく別の対策です。前者は人の注意力に依存し、後者は構造で防ぎます。対象が数十件を超える定型連絡は、メール配信システムや差込送信（1通ずつ個別送信）に寄せることで、設定ミスの成立余地そのものを消せます。

2. 「同日中に外部指摘で判明」という検知経路の脆さ

本件は受信者側からの指摘で判明しました。結果として同日中に判明した点は幸運ですが、これは組織内の仕組みが検知したわけではないことを意味します。誰も指摘しなければ、そのまま気づかれなかった可能性があります。誤送信は「起きたかどうか」を後から知るのが難しい事故であり、送信ログの事後確認や、送信前の宛先件数チェックといった内部側の検知点を持たない限り、外部の善意に依存し続けることになります。

3. 発生から公表までの19日間をどう説明するか

6月3日の発生に対し、公表は6月22日です。この間に対象医療機関への電話連絡は行われています。個別連絡を先に済ませる判断は合理的ですが、公表時点では「なぜ19日かかったか」「その間に二次的な悪用の兆候はなかったか」まで含めて説明できる状態にしておくと、対象者の納得度は大きく変わります。

ヤグラの視点 — 報告のハードル：事故を「気づいた人が1クリックで通せる」経路があるか

送信操作の設定ミスであり、外部からの攻撃も、マルウェアも、脆弱性の悪用も関与していません。だからこそ本件が問いかけているのは、防御技術ではなく気づきを組織に届ける経路の設計です。

本件で誤送信が判明したのは、受信した医療機関が「これはおかしい」と指摘したからです。裏を返せば、事故に気づいた人（外部の受信者、あるいは送信した本人）が、迷わず・軽い負担で・速く申告できる経路があるかどうかが、被害の確定と拡大の分かれ目になります。誤送信は起きた直後の数分〜数時間が勝負で、この間に削除依頼を出せれば実害の多くを抑え込めますが、報告経路が「上司に相談してから所管課へ」と多段になっていると、その数時間が消えます。

前提に置くべきなのは「人は騙されるし、間違える」という事実です。だから対策の重心は、間違いをゼロにすることではなく、間違いを申告するハードルを限界まで下げることに置きます。誤送信のような自責の事故ほど、報告者を責めない文化と、ワンクリックで通る報告経路の両方が必要です。技術で埋められるのは後者の一部であり、前者は組織の設計の問題として残ります。

今後の対応

同市は対象医療機関への説明・謝罪と誤送信メールの削除依頼を完了しています。露出したのはメールアドレスのみで、フィッシング等の二次利用リスクは残るため、対象医療機関側での不審メールへの注意が引き続き必要です。

更新履歴

日時	内容
2026-08-03	初稿公開（2026年6月22日公表時点の情報）