川越商工会議所、非表示の個人情報を「削除済み」と誤認して外部2件に誤送信 — 会員情報4363件

項目	内容
発生日	2026年6月8日（誤送信日）
公表日	2026年6月24日
対象組織・業界	川越商工会議所（埼玉県川越市／経済団体）
事象	非表示処理されたデータを削除済みと誤認したまま外部へメール送信
情報源	Security NEXT（2026年6月24日）

概要

川越商工会議所は2026年6月24日、会員の個人情報を含むリストを外部の送信先2件にメールで送信した際、削除すべき個人情報が非表示処理のまま残存していたことを公表しました。

対象となった情報は会員の氏名、住所、電話番号、生年月日、メールアドレス、口座情報、事業所名で、件数は4363件にのぼります。同会議所は非表示処理となっていたため、個人情報が削除済みであると誤認したと説明しています。

経緯

• 2026年6月8日: 会員の個人情報を含むリストを外部の送信先2件へメールで送信。削除すべき個人情報が非表示処理のまま残存していた
• 2026年6月9日: 送信先に対して誤送信したリストの削除を依頼し、削除されたことを確認
• 個人情報保護委員会、埼玉県、日本商工会議所に報告
• 2026年6月24日: 公表

原因

同会議所は「削除すべき個人情報が残存していた。非表示処理となっていたため、個人情報が削除済みであると誤認した」と説明しています。表計算ソフトの行・列・シートの非表示機能によって画面上から見えなくなったデータを、削除されたものと取り違えたことが直接原因です。

考えられる原因（推測）: 表計算ソフトでは、非表示にした行・列・シートのデータはファイル内にそのまま保持されており、受け取った側が再表示するだけで内容を読めます。「削除」ではなく「非表示」で済ませてしまう背景としては、(a) 元データを壊さずに手元で復元できるようにしておきたいという実務上の動機、(b) 加工前後のファイルを分けずに1つのファイルで作業していた、(c) 完成物の確認を作成者本人だけで行っていた、といった条件が典型的です。送信前に「受信者の目に映るファイル」として開き直す工程が入っていなかった可能性が考えられます。いずれも推測であり、公表された事実は誤認の内容までです。

対策

組織が学ぶべきこと

1. 「非表示」はアクセス制御ではない

表計算ソフトの非表示機能は表示の制御であり、データの削除でもアクセス制御でもありません。同様に注意が必要なのは、セルの文字色を白にする、図形やオブジェクトで覆う、列幅をゼロにする、フィルタで絞り込む、PDFに黒い塗りつぶし図形を重ねる、といった操作です。いずれも「見えなくなった」だけで、データはそこに残っています。外部へ渡すファイルでは、この区別を知っているかどうかが4363件の差になります。

2. 外部提供用のファイルは「別ファイルとして作り直す」

最も確実な対策は、元データを加工して送るのをやめ、必要な列・行だけを新しいファイルに値貼り付けして作ることです。この手順は非表示の残存だけでなく、数式が参照している元データ、名前の定義、ピボットテーブルのキャッシュ、コメント履歴といった「見えない同伴データ」もまとめて断ち切ります。運用ルールを「非表示にしないこと」と書くよりも、「新規ファイルに必要な分だけを移すこと」と書いた方が、実行可能で例外が少なくなります。

3. 送信前チェックは「作成者以外が受信者の視点で開く」

本件で削除依頼と削除確認は翌日に完了しており、事後対応は速く機能しています。残る論点は事前です。作成者は「自分が何を消したか」を記憶しているため、非表示のまま残っているデータを見落とします。別の担当者が、送信予定の添付ファイルを何も知らない状態で開き、全シートの再表示を実行してから確認する——この一手順を発生させる仕組みが必要です。

ヤグラの視点 — 訓練で防げた分岐点：「非表示は削除ではない」の一行が4363件を分ける

攻撃者は登場せず、外部からの侵入も認証情報の窃取もありません。起きたのは、担当者が表計算ソフトの仕様を誤解したまま送信ボタンを押した、という一点です。ここで技術製品の話をするのは筋が通りません。

ただし、この事案が示していることは、セキュリティ教育の設計そのものに関わります。本件は「注意力が足りなかった」事案ではなく、「仕様の知識が1つ欠けていた」事案です。 注意力を求める研修は、忙しくなれば効きません。一方、「非表示にしたデータはファイルの中に残っており、受け取った人が再表示すれば読める」という知識は、一度伝われば忘れにくく、判断のたびに思い出す必要もありません。

サイバーインシデントの原因の74%は人が要因とされます。ただしこれは「人が悪い」という話ではなく、人が実行できる形に対策を落とし込めているかという話です。誤送信や誤公開の類型では、そのほとんどが「一般論としての注意喚起」ではなく「特定のツールの特定の挙動」に集約されます。組織が本当にやるべきなのは、年1回の一般的な情報セキュリティ研修に加えて、自組織が実際に外部へファイルを出す業務で使っているツールについて、その具体的な落とし穴を共有することです。研修の効果は、テーマがどれだけ「自分の明日の業務」に近いかで決まります。

今後の対応

送信先2件でのリスト削除は確認済みで、個人情報保護委員会・埼玉県・日本商工会議所への報告も完了しています。口座情報が含まれるため、対象会員への注意喚起および再発防止策の詳細について続報が想定されます。

更新履歴

日時	内容
2026-06-24	初稿公開（公表日時点）