東京都八王子市、認定こども園22施設への請求書メールに全保育施設の児童情報を誤添付 — 1万1997人分が流出

2026/07/01 全容判明重大公共・非営利 #人的ミス

項目	内容
発生日	2026年6月9日（誤送信日）
対象組織・業界	東京都八王子市（自治体・保育行政）
攻撃手法	攻撃なし（在籍児童一覧データ作成過程での削除漏れによる誤送信）
情報源	Security NEXT（2026年7月1日）

概要

東京都八王子市は、2026年7月1日、市内の認定こども園全22施設に6月分の請求書をメール送信した際、児童1万1997人分の個人情報を誤って添付・送信したことを公表しました。

本来は各園ごとの在籍児童リストを添付すべきところ、在籍児童一覧のデータ作成過程で、削除すべき全保育施設の児童情報を削除せずに送信していました。その結果、各園が自園以外の児童情報まで受領できる状態になりました。

流出した情報は、児童の氏名・生年月日・保育所名、保護者の氏名、保護者の所得割決定額です。同市は送信先の園に誤送信メールの削除を要求し、すでに削除済みであることと二次利用がないことを確認、対象児童の保護者に謝罪しています。

経緯

2026年6月9日: 市内認定こども園全22施設へ6月分の請求書をメール送信。園ごとの在籍児童リストに絞り込む過程で、市内全保育施設分の児童情報を削除せずに添付
判明後: 送信先の各園に誤送信メールの削除を要求。削除済みであること、二次利用がないことを確認
その後: 対象児童の保護者へ謝罪を実施
2026年7月1日: 公表

原因

原因は、在籍児童一覧のデータ作成過程において、各園に送るべき範囲外のデータ（市内全保育施設の児童情報）を削除しなかった人的ミスです。

考えられる原因（推測）: 「元データから不要行を削除して園別ファイルを作る」という作業手順は、削除漏れが発生した瞬間に全件流出に直結する構造を持っています。表計算ソフトでこの作業を行う場合、フィルタで園を絞り込んだ状態で保存してもフィルタで非表示になっているだけでデータ自体は残っている、シート単位で分けたつもりが別シートに全件データが残っている、といった形で「見た目は絞り込めているのに中身は全件」という状態が生じやすくなります。22施設分を1件ずつ手作業で切り出す工程が、事故の確率を22倍にしていたとも言えます。

対策

組織が学ぶべきこと

1. 「元データから削って作る」を「必要分だけ抽出して作る」に変える

本件の構造的な問題は、全件データを起点として不要分を削除するという作業手順そのものです。この手順では、削除という一手が漏れた瞬間に最大被害が発生します。逆に、システムから園ごとに必要な範囲だけを抽出して出力する（帳票出力機能・クエリによる抽出）方式であれば、漏れが起きても被害は「不足」の側に振れ、流出には至りません。手作業の削除に依存した帳票作成は、システム的な分割出力に置き換えるべき最優先の業務です。

2. 「隠れているだけ」を検出する確認手順

表計算ファイルでは、フィルタ・非表示行・非表示シート・ピボットのキャッシュなど、画面上では見えないがファイルには残っているデータが複数の形で存在します。外部送付前の確認手順に、「ファイルサイズが想定と乖離していないか」「非表示のシート・行がないか」「フィルタが解除された状態で内容を確認したか」を明示的に含める必要があります。目視での画面確認だけでは、この類型は検出できません。

3. 22施設への送信が意味する回収困難性

本件では22の外部組織に同じ全件データが渡りました。同市は削除と二次利用がないことを確認していますが、送信先が多いほど回収の確実性は下がります。1施設ごとに削除確認を取り、確認が取れない施設については個別に追跡する——この作業量は送信先の数に比例します。一斉送信の宛先数は、事故時の回収コストとしても評価されるべき指標です。

ヤグラの視点 — 影響範囲の特定：「1万1997人分」を確定させるまでの作業

本件の公表で目を引くのは、被害件数が「1万1997人分」という1人単位の精度で示されている点です。この数字が出てくるまでには、送信した全ファイルの中身を突き合わせ、どの園にどの範囲のデータが渡ったかを再構成し、重複を除いて対象児童を確定させる作業が必要になります。そして対象者への謝罪は、この確定作業が終わってはじめて実行できます。

インシデント対応において、「何が、誰の情報が、どこまで出たか」を確定させる作業は、原因を突き止める作業よりも時間を食うのが実情です。本件のように送信済みメールと添付ファイルが手元に残っている誤送信は、この作業が比較的容易な部類に入ります。難しいのは、不正アクセスのように「攻撃者が何を持ち出したか」を外部から推定しなければならないケースです。そこではアクセスログ・データベース監査ログ・アウトバウンド通信ログを横断して時系列で相関させる必要があり、平時にログが揃っていなければ、そもそも件数を出すことができません。

「調査中」「漏えいした可能性がある」という表現で公表が止まる事案が後を絶たないのは、この確定作業に必要な材料が揃っていないからです。ヤグラの AI SOC は、100を超える連携先のログを集約して横断的に相関分析することで、影響範囲を「可能性」ではなく「範囲」として説明できる状態を目指す基盤です。本件のような誤送信で1人単位の件数が出せるのは望ましい状態であり、それを技術的侵害の場面でも実現できるかが問われています。

今後の対応

同市は送信先での削除と二次利用がないことを確認し、対象児童の保護者への謝罪を完了しています。園別データの作成手順の見直しやシステム的な分割出力への移行といった再発防止策の具体化が期待されます。同種の帳票作成業務を手作業で行う他自治体でも、手順点検の契機となる事案です。

更新履歴

日時	内容
2026-08-03	過去アーカイブとして記事化（キュレーション）