何が起きたか
この事故で流出した、または流出したおそれがある情報は、ボランティア4名のメールアドレス。うち1名は氏名も含むです。その後の対応と影響は、当日中に担当者が対象者へ電話で謝罪し、メールの削除を依頼した。機構は一斉送信を原則BCCにすること、チェックリストによる複数人確認、取扱手順書の見直しを再発防止策としている。同機構では8月と9月にも大阪市立美術館で個人情報の漏えいがあったです。
原因になったのは「メールの宛先をBCCではなくCCに入力」です。公表された内容では、生成AIは事故に関わっていません。
- 中心 直接の原因確定
一斉配信でエラーになった4名へメールを送り直す際、宛先をCC欄に入力した。送信前の複数人での確認が行われなかった。
- 1つ外側 流出した情報確定
ボランティア4名のメールアドレス。うち1名は氏名も含む。
- いちばん外側 その後の対応と影響確定
当日中に担当者が対象者へ電話で謝罪し、メールの削除を依頼した。機構は一斉送信を原則BCCにすること、チェックリストによる複数人確認、取扱手順書の見直しを再発防止策としている。同機構では8月と9月にも大阪市立美術館で個人情報の漏えいがあった。
なぜ起きたか
メールの宛先は複数人で確認する決まりだったが、送信時に近くに確認を頼める職員がおらず、1人の確認で送信した。
原因の種類は「誤送信」です。メールや書類を、本来と違う相手に送った事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は6件あります。
事故が起きてから公表されるまで
- 10月7日15時55分ごろ、一斉配信サービスでイベント案内を送り、4名が配信エラーになる
- 15時58分、4名へ個別に送り直す際、宛先をCC欄に入力して送信
- 16時ごろから対象者へ電話で謝罪とメール削除の依頼
- 10月8日、大阪市が報道発表
どうすれば防げたか
上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。
止められた可能性がある所（当社の見立て）複数の外部の人へ送るメールは、宛先をBCCに固定する設定や、送信前に宛先の欄を確認する仕組みがあれば、CCへの入力に送信前に気づけた可能性がある。
この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。
自社で確認する3つの手順
上から順に、短い時間で確認できるものを並べています。
- 外部の複数人に同じメールを送る業務を洗い出し、BCCや一斉配信サービスを使う決まりがあるか確認する
- メールソフトに、外部の宛先が複数ある時に警告を出す機能や送信の保留機能があるか確認する
- 確認役がいない時間帯に送る場合の手順（送信を待つ、別の担当者に頼む）が決まっているか確認する
自社に同じ原因があるか
当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。