事案の概要データ
| 報道 | 2026年10月23日（Security NEXT） |
|---|---|
| 誤送信 | 2026年9月18日 |
| 担当者が気づいた日 | 2026年9月21日（3日後） |
| 対象 | 区職員内定者 96人 |
| 流出した情報 | 内定者のメールアドレス |
| 原因 | 「送信先を誤って宛先に設定したため、受信者間でメールアドレスが閲覧できる状態となった」 |
| 対応 | 2026年9月22日に対象内定者へメールで謝罪し、誤送信メールの削除を依頼 |
| 再発防止策 | 報道に記載なし |
| 注意 | 区自身の公表文を確認できておらず、内容は報道にもとづく |
図解：この事故の構造
何が起きたのか
江戸川区で、採用内定式の案内メールの誤送信があったと報じられました。
報道によれば、2026年9月18日、区職員の内定者96人へ案内メールを送る際、送信先を誤って宛先（To）に設定しました。その結果、受信者どうしでメールアドレスが見える状態になっています。
担当者が気づいたのは3日後の9月21日。翌22日に対象の内定者へメールで謝罪し、誤送信したメールの削除を依頼しました。
なお、本記事の時点では区自身の公表文を確認できておらず、内容は報道にもとづきます。
「BCCの入れ忘れ」は最も多い個人情報事故
一斉送信でメールアドレスを宛先（To）や CC に入れてしまう。これは、個人情報の事故として最も件数が多い類型です。
技術的には何も壊れていません。攻撃者もいません。入力欄を1つ間違えただけです。だからこそ、どんな組織でも起きます。
そして厄介なのが、取り消せないことです。送信ボタンを押した瞬間に、96人の受信箱に届いています。本件でも「削除を依頼」という対応しかできていません。依頼しても、読んだ人の記憶は消えませんし、転送されていれば追いきれません。
対策は昔から変わりません。一斉送信にメールソフトの宛先欄を使わないことです。
・メール配信サービスを使う（1通ずつ個別に送られるので、そもそも他人のアドレスが入らない）
・グループアドレス（メーリングリスト）を使う（宛先は1つだけになる）
・どうしてもメールソフトで送るなら、宛先に自分のアドレスを入れ、相手は全員BCCにする
3つ目は最後の手段です。BCCに入れたつもりが To に入っていた、という事故が本件です。人が毎回気をつける方法は、いつか必ず破れます。
「内定者」という宛先の特殊性
96人という件数は小さいです。漏れたのもメールアドレスだけです。それでも軽く扱えない理由があります。
①そのメールを受け取った時点で、全員が「江戸川区の内定者である」と分かります。 アドレスだけが漏れたのではなく、属性つきのアドレスが漏れています。
②内定者どうしが、入庁前に互いを知ってしまいます。 誰が内定したかは、本来それぞれの個人情報です。他の自治体や企業と迷っている人、内定を辞退しようとしている人もいます。
③個人のアドレスである可能性が高い。 内定者はまだ職員ではないので、学生時代から使っているプライベートのアドレスでしょう。氏名が含まれるアドレスも多く、その場合は氏名も一緒に漏れたことになります。
中小企業でも同じことが起きます。採用応募者への一斉連絡、不採用通知、健康診断の案内、退職者への連絡、セミナー参加者への案内。 これらは「受け取った人が同じ属性を持っている」ため、アドレスだけでも意味を持ちます。
特に危ないのが不採用通知の一斉送信です。全員のアドレスが見えた状態で「今回は見送らせていただきます」が届く。これは本人にとって非常に重い事故になります。
3日間気づかなかった、という点
誤送信は9月18日、気づいたのは9月21日です。3日間空いています。
誤送信は、たいてい受信者からの指摘で判明します。本件は「担当者が気づいた」とされているので、自分で発見したようです。それ自体は良いのですが、3日かかっています。
この3日の間に、受信者の誰かがアドレスを控えたり、転送したりしていても分かりません。
一斉送信をしたら、送信直後に送信済みフォルダを開いて、宛先欄を自分の目で確認する。これを手順に入れてください。30秒です。
そして、気づいたときの対応も決めておきます。本件は翌日に謝罪メールを送り、削除を依頼しました。この順番は正しいです。①事実を伝える ②謝罪する ③削除を依頼する ④二次被害への注意を促す。 4つ目まで入れると、なお良くなります。「このアドレス宛に不審なメールが届いたら開かないでください」の一文です。
なお、公表は10月23日の報道で広く知られました。誤送信から1か月以上たっています。小さな事故ほど公表が遅れがちですが、対象者への連絡（9月22日）が速ければ、本人の被害は防げます。公表の速さと、本人への連絡の速さは分けて考えてください。
時系列で見る経過
- 2026年9月18日採用内定式の案内メールを、区職員内定者96人へ送信。送信先を誤って宛先に設定し、受信者間でメールアドレスが閲覧できる状態となる
- 2026年9月21日担当者が誤送信に気づく
- 2026年9月22日対象となる内定者へメールで謝罪し、誤送信したメールの削除を依頼
- 2026年10月23日報道により判明（区の公表文は未確認）
解決までの道のり
誤送信に気づいた翌日に、対象の内定者全員へ謝罪のメールを送り、誤送信したメールの削除を依頼した。
対応の流れ
- 2026年9月21日担当者が誤送信に気づく（送信から3日後）
- 2026年9月22日対象の内定者96人へメールで謝罪し、誤送信メールの削除を依頼（気づいた翌日）
解決できたポイント／残った課題
- 受信者からの指摘ではなく、担当者が自分で気づいている
- 気づいた翌日には対象者全員へ連絡しており、本人への対応は速い
- 対象が96人と特定できており、全員に連絡できている
- ただし送信から気づくまで3日かかっている
- 再発防止策は報じられておらず、区の公表文も確認できていない
中小企業が学ぶべきポイント
- 一斉送信の宛先ミスは、最も件数が多い個人情報事故。攻撃者がいなくても起きる。
- 送信ボタンを押した瞬間に取り消せない。削除を依頼しても、読んだ人の記憶も転送も追えない。
- 一斉送信にメールソフトの宛先欄を使わない。配信サービスかグループアドレスを使う。
- やむを得ずメールソフトで送るなら、宛先は自分、相手は全員BCC。ただし人が毎回気をつける方法はいつか破れる。
- 採用・健康診断・退職者・セミナーの一斉連絡は、アドレスだけでも「同じ属性の人」と分かってしまう。
- 不採用通知の一斉送信は特に重い事故になる。1通ずつ送る。
- 一斉送信の直後に送信済みフォルダを開き、宛先欄を目で確認する。30秒で終わる。
- 気づいたときの連絡は4点。事実を伝える／謝罪する／削除を依頼する／不審なメールへの注意を促す。
- 公表の速さと、本人への連絡の速さは分けて考える。本人への連絡が速ければ被害は防げる。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。