大阪教育大学、メールに別ファイルを誤添付し学生・教職員1,529件が流出 — 「容量の大きさ」への違和感が唯一の検知手段だった

2026/07/02 全容判明中程度教育・研究 #人的ミス

項目	内容
発生日	2026年3月19日（誤送信・判明とも同日）
対象組織・業界	大阪教育大学（教育・国立大学）
攻撃手法	攻撃なし（メールへのファイル誤添付）
情報源	Security NEXT（2026年7月2日）

概要

大阪教育大学は、2026年7月2日、職員がメールを送信する際に保存していた送付用の表計算ファイルとは別のファイルを誤って添付したことにより、学生・教職員の個人情報が外部に送信されたと公表しました。

対象となったのは学生の個人情報1,476件、教職員の個人情報53件、合計1,529件で、このうち学生に関する要配慮個人情報が7件含まれていました。

判明の経緯は特徴的です。職員は送信後、添付ファイルの容量が想定より大きいことに気づき、送信済みフォルダを確認したところ誤ったファイルを添付していたことが判明しました。同大は3月23日に送信先へ連絡し、相手先が未閲覧であることを確認、メールの削除を依頼して削除を確認しています。

経緯

2026年3月19日: 職員がメール送信時に送付用とは別の表計算ファイルを誤添付。同日、ファイル容量の大きさに違和感を持ち送信済みフォルダを確認して判明
2026年3月23日: 送信先に連絡。相手先が未閲覧であることを確認し、メールの削除を依頼して削除を確認
その後: 対象者への説明と謝罪を実施
2026年7月2日: 公表

原因

原因は、職員が保存していた送付用の表計算ファイルではなく、個人情報を含む別の表計算ファイルをメールに添付したことです。同大は具体的な添付操作の経路（ファイル選択ダイアログでの取り違えか、ドラッグ&ドロップの誤りか等）を公表していません。

考えられる原因（推測）: 送付用に加工したファイルと、加工元となった個人情報を含む原本ファイルが同一フォルダに併存していると、ファイル名の近さや更新日時の並び順で取り違えが発生しやすくなります。要配慮個人情報を含む学生データが同じ表計算ファイル群の中で扱われていた点からも、「原本 → 加工 → 送付用」という工程が同一の作業領域で完結していた可能性が考えられます。加工後のファイルを別領域へ移し、原本には送信不可のアクセス制御を掛けることで、この類型の取り違えは構造的に減らせます。

対策

組織が学ぶべきこと

1. 「未閲覧の確認」まで踏み込んだ初動

同大は送信先に連絡した際、相手先が未閲覧であることを確認した上で削除依頼を行っています。誤送信対応では「削除を依頼した」で終わる公表が多い中、閲覧の有無まで確認して公表しているのは、対象者への説明責任として一段踏み込んだ対応です。「未閲覧」を確認できていれば実害の評価は大きく変わるため、初動の手順としてここまでを標準に入れる価値があります。

2. 要配慮個人情報を含むデータの取り扱い分離

1,529件のうち7件が要配慮個人情報でした。要配慮個人情報は、漏えい時に個人情報保護委員会への報告義務が生じ得る種類の情報であり、通常の氏名・連絡先とは扱いの重みが異なります。要配慮情報を含むファイルは、通常の学務データと同じフォルダ・同じ命名規則で管理しないという物理的な分離が、取り違えを防ぐ最も直接的な手段です。

3. 発生から公表までの3か月半

誤送信は3月19日、公表は7月2日です。この間に送信先の未閲覧確認・削除確認・対象者への説明を進めていたと考えられますが、3か月半という期間は、対象者が「自分の情報が送信されていた事実」を知るまでの空白でもあります。調査と説明を優先する判断には合理性がありますが、公表のタイミングをどう設計するかは、対象者の立場から逆算して検討する余地があります。

ヤグラの視点 — 組織固有知識の学習：「いつもと違う」を人の勘に頼らない

本件の検知経路は、記録に残す価値があります。誤送信を発見したのは、システムのアラートではなく、職員が「添付ファイルの容量が想定より大きい」と感じた違和感でした。

これは実質的に、その職員が「この業務でいつも送るファイルはこのくらいのサイズ」という組織固有の正常値を経験的に持っていたということです。異常検知の本質は、まさにこの正常値との差分の把握にあります。本件はそれが偶然、経験を積んだ職員の勘という形で機能した幸運なケースでした。

問題は、この検知能力が個人に属していて再現できないことです。担当が代わればゼロに戻り、その職員が忙しければ発火しません。組織として必要なのは、「この業務では通常このサイズ・この件数・この宛先」という組織固有のパターンを、仕組みの側が学習して保持していることです。

ヤグラの AI SOC が持つ機能のひとつが、対応履歴をメモリに登録してAIが調査推論に活用する組織固有知識の学習です。汎用的な脅威シグネチャではなく、その組織で何が正常で何が異常なのかをAIが蓄積していく。狙いは、本件で職員の勘が果たした役割を、属人性から仕組みへ移すことにあります。「いつもと違う」に気づけるかどうかが誤送信の発見を分けるのであれば、その「いつも」を組織が明示的に保持しているべきです。

今後の対応

同大は送信先での未閲覧・削除を確認し、対象者への説明と謝罪を完了しています。ファイル管理・添付操作に関する再発防止策の具体的内容は公表されておらず、続報を注視します。

更新履歴

日時	内容
2026-08-03	過去アーカイブとして記事化（キュレーション）