香川県、県内43校へのイベント案内メールをCCで送信 — 県立高校事務職員29人のアドレスが相互に露出

項目	内容
発生日	2026年6月15日（誤送信・判明とも同日）
対象組織・業界	香川県（自治体・高校向けイベント案内）
攻撃手法	攻撃なし（メール送信時にCC欄へ宛先を入力したことによるアドレスの相互露出）
情報源	Security NEXT（2026年6月25日）

概要

香川県は、2026年6月25日、県内の学校へイベント案内メールを送信した際に宛先をCC欄に入力したため、受信者間でメールアドレスが閲覧できる状態になったことを公表しました。

対象となったメールは、県内43校（公立高校および私立中高校）に対する「第十回全国高校生花いけバトル香川大会」の案内です。この送信により、県立高校の事務職員29人のメールアドレスが受信者相互に閲覧できる状態になりました。

誤送信は送信当日、高校職員からの指摘により判明しています。同県は誤送信先へ経緯を説明してメールの削除を依頼し、アドレスが流出した職員へも説明と謝罪を行っています。

経緯

• 2026年6月15日: 県内43校へ「第十回全国高校生花いけバトル香川大会」の案内メールを送信。宛先をCC欄に入力したため、県立高校事務職員29人のアドレスが受信者間で可視となる
• 同日: 高校職員からの指摘により判明
• 判明後: 誤送信先への経緯説明とメール削除依頼、アドレスが流出した職員への説明と謝罪を実施
• 2026年6月25日: 公表

原因

原因は、メール送信時の操作ミスです。同県の説明によれば、CC欄にメールアドレスを入力したため、受信者間でメールアドレスが閲覧できる状態になりました。本来は受信者相互にアドレスが見えないBCC欄を使うべき一斉案内でした。

考えられる原因（推測）: 43校という送信先数を考えると、事前に用意した宛先リストからのコピー&ペースト、あるいはメールソフトのアドレス帳グループを使用した送信であった可能性が高いと考えられます。この場合、貼り付け先の欄がCCになっていた、グループ送信の既定動作がCC展開だった、といった経路が典型です。また、庁内向けの連絡では受信者同士がアドレスを知っている前提でCCが日常的に使われるため、外部組織を含む送信でも同じ操作を反復してしまうという運用上の落とし穴も考えられます。

対策

組織が学ぶべきこと

1. 「庁内向けの習慣」を外部向け送信に持ち込まない

CCによる一斉送信は、同一組織内の連絡では情報共有の可視化として合理的であり、日常的に使われる操作です。問題は、外部組織を含む送信でも同じ手が動いてしまうことです。43校という送信先の中には私立学校も含まれており、組織を跨いだ送信でした。対策としては、宛先に外部ドメインが含まれる場合にCC/TOの件数が一定を超えたら送信をブロックする、といった技術的な制約が最も確実です。注意喚起では、日常の操作習慣に勝てません。

2. 発覚が「受信者からの指摘」だったこと

本件は当日中に高校職員からの指摘で判明しました。初動が早かったのは幸いですが、組織側に自己検知の手段がなかったことも同時に示しています。送信済みメールの宛先件数を定期的に点検する、あるいは一定数以上の宛先を含む送信を管理者に通知する仕組みがあれば、外部からの指摘を待たずに把握できます。誤送信対応では「気づいてからの速さ」と同じくらい「気づき方」が重要です。

3. 件数が少なくても「誰のアドレスか」が意味を持つ

露出したのは29件のメールアドレスのみで、件数としては小規模です。しかし対象は県立高校の事務職員という特定の職務にある人物のアドレスであり、所属と役割が特定できる状態で外部組織を含む43校に渡っています。この種のリストは、なりすましメールの宛先リストとしての価値を持ちます。「アドレスだけだから軽微」という評価ではなく、リストとしての悪用可能性を含めて対象者へ注意喚起を行う必要があります。

ヤグラの視点 — 訓練で防げた分岐点：知っているのに起きる事故の埋め方

「一斉送信はBCCで」——この知識を持っていない職員は、行政機関にも企業にもほとんどいません。それでも、この類型の誤送信は毎週どこかで公表されています。ここに、セキュリティ教育の最も重要な論点があります。知識があることと、その場で正しく手が動くことは別の能力だということです。

多くの組織のセキュリティ研修は、知識の伝達で完結しています。「BCCを使いましょう」というスライドを見て、理解度テストに正解する。しかし実際の事故は、締切間際に43件の宛先を貼り付けている最中に起きます。そこで作動するのは研修で得た知識ではなく、日常の手の動きです。知識と行動の間にあるこのギャップを埋められるのは、知識の再確認ではなく、行動の再現です。

だからこの類型に対しては、対策の順序が決まります。第一に技術的な制約（外部宛先の一括CC送信をブロックする）で、そもそも手が動いてしまっても事故にならない状態を作る。第二に、訓練を「知っているか」を測るものから「その場でどう動くか」を体験させるものへ変える。ヤグラの アウェアネス が重視しているのは後者です——最新の攻撃手口を反映したシナリオで実際に体験させ、引っかかった従業員にはAIが自動でフォロー教育を返す。狙いは知識の量を増やすことではなく、実際の場面で作動する行動を作ることにあります。

本件は被害規模が小さく、初動も当日で完結した事案です。しかし「知っているのに起きる」というこの構造こそ、より重大な事故——フィッシングメールのリンクをクリックする、確認せずに送金する——にも共通する根っこです。29件の誤送信を、その根っこを点検する材料として扱う価値があります。

今後の対応

同県は誤送信先への削除依頼と対象職員への説明・謝罪を完了しています。一斉案内メールの送信手順の見直しといった再発防止策の具体的内容は公表されていません。同種の学校向け一斉連絡を行う他自治体でも、宛先設定の点検の契機となる事案です。

更新履歴

日時	内容
2026-08-03	過去アーカイブとして記事化（キュレーション）