今も発生している「BCC設定ミス」による大量流出――メールアドレスの漏えいを防ぐために知っておきたいこと

メール誤送信の中で、宛先そのものの間違いと並んで怖いのが、BCCの設定ミスです。

1人の宛先を間違える事故とは異なり、BCCで送るべきメールをToやCCで送信すると、登録されていたメールアドレスが受信者全員に一斉公開されます。

一度の操作ミスで、数百件、ときには数千件のメールアドレスが流出する可能性があります。

しかも、これは過去の話ではありません。2024年から2025年にかけても、企業や公的機関で同様の事故が繰り返し発生しています。まずいくつかの事例を見てみましょう。

事例1：デジタルサービス企業で1,212件が流出

2025年3月、あるデジタルプラットフォーム運営企業が、過去の説明会参加者に一斉メールを送りました。

本来はBCCに入力するべきメールアドレスをToに入力したまま送信し、1,212件のメールアドレスがほかの受信者から見える状態になりました。

事故後、同社は一斉送信に専用のメール配信システムを使用する方針を発表しています。

事例2：業務システム利用者1,809件への一斉送信

2025年5月、ある人材・情報サービス企業が、Web請求システムの利用者にシステム切り替えの案内を送りました。

メールは1,809件を4回に分けて送信されましたが、本来BCCに入力するべき宛先がCCに入力されていました。

その結果、合計1,809件のメールアドレスが受信者から確認できる状態になりました。メールアドレスの表示方法によっては、会社名や氏名も含まれていました。

事故は、送信から数分後に受信者から指摘されて発覚しました。

事例3：採用希望者約1,000人のアドレスが流出

2025年8月、ある公立学校が、学校での勤務を希望する人に募集案内を送信しました。

約1,000人分のメールアドレスをBCCではなく宛先欄に入力したため、採用を希望している人のメールアドレス約1,000件が流出しました。

メールアドレスだけでなく、「その組織で働くことを希望している」という情報まで、受信者同士に推測される可能性があります。

事例4：イベント参加者1,998件の氏名とアドレスが流出

2024年12月、ある公的機関が、過去のスポーツイベント参加者に案内メールを送りました。

約2,000件のデータを1,000件程度ずつに分割して送信しましたが、BCCではなくToで送信していました。

その結果、氏名とメールアドレスを含む1,998件の情報が閲覧できる状態になりました。

この事故も、受信者からの連絡によって発覚しています。

事例5：専用システムの設定ミスで8,046件が流出

さらに大きな事例もあります。

ある政府委託事業では、利用者8,046人にWebアンケートの案内を送信するため、新たにメール配信システムを構築しました。

しかし、プログラムの設定に誤りがあり、本来BCCで送るべきメールアドレスがToに表示された状態で配信されました。

流出したメールアドレスは、合計8,046件です。

これは、担当者がOutlookでBCCとToを押し間違えた事故ではありません。専用システムを構築していても、設定確認や本番前のテストが不十分であれば、大量流出は発生します。

BCC事故は「規模」や「IT知識」では防げない

これらの事例から分かるのは、BCC事故は小さな組織やパソコンに不慣れな人だけが起こすものではないということです。

• デジタルサービスを提供する企業

• 多数の利用者を抱える企業

• 公的機関や教育機関

• 専用のメール配信システムを使う事業

こうした組織でも、実際に数百件から数千件単位の流出が発生しています。

特に危険なのは、BCCを使った大量配信を、通常のメールソフトで人の注意力だけに頼って運用することです。

送信する人数が増えるほど、事故が起きたときの被害も大きくなります。

大量の社外宛てメールは、担当者に「BCCを確認してください」と注意するだけでは不十分です。

• 専用のメール配信システムを使用する

• 外部宛てが一定数を超えたら送信を止める

• ToやCCの外部宛てを自動的にBCCへ変換する

• 送信前に別の担当者が確認する

• 少数のテストアドレスで試してから本番配信する

数百件、数千件単位の一斉送信を頻繁に行っている職場の場合、こうした仕組みを組み合わせ、間違えようとしても大量流出できない環境をつくることも検討してください。

OutlookではBCCが隠れている

BCC事故を防ぐうえで見落とせないのが、Outlookの画面設計です。

Outlookでは、初期状態や設定によってBCC欄が表示されていない場合があります。「宛先」と「CC」は見えていても、BCCは自分で表示しなければ使えません。

そのため、BCCを知らない人にとっては、「複数の相手へ送るときは、宛先かCCに並べる」という操作が自然に見えてしまいます。

これは利用者の注意力だけの問題ではありません。必要な機能が隠れている以上、組織側が表示方法と使い方を教える必要があります。

新しいOutlookでBCCを表示する方法

1. 「新規メール」を開く

2. 画面上部の「オプション」を選ぶ

3. 「フィールドの表示」を選ぶ

4. 「BCCを表示」を選ぶ

これで、メール作成画面にBCC欄が表示されます。

従来のOutlookでBCCを表示する方法

1. 新しいメールを別ウィンドウで開く

2. 「オプション」タブを選ぶ

3. 「BCC」を選ぶ

閲覧ウィンドウ内でメールを作成している場合は、リボンにある「BCC」を選びます。

画面構成はOutlookのバージョンによって異なります。操作が見つからない場合は、使用しているOutlookが「新しいOutlook」か「従来のOutlook」かを確認してください。

新入社員には必ずBCCの教育を行う

新入社員が、入社時点でメールを正しく使えるとは限りません。

学生時代の連絡が、チャットアプリやSNS、学校の連絡システムを中心としていた人もいます。就職活動を始めてから、初めて本格的にメールを使ったという人がいても不思議ではありません。

メールを送った経験があっても、次の違いまで理解しているとは限りません。

- 宛先は主な相手

- CCは情報を共有する相手

- 宛先とCCは受信者全員から見える

- BCCはほかの受信者から見えない

- 社外の複数人へ一斉送信するときはBCCを検討する

BCCを知らない新入社員に、いきなり顧客や応募者への一斉送信を任せるのは危険です。

新入社員研修では、メールの文章や敬語だけでなく、BCCを含む宛先の使い分けを必ず扱いましょう。

研修で実際に練習しておきたいこと

- OutlookでBCC欄を表示する

- To・CC・BCCの違いを説明する

- テスト用アドレスで一斉送信を練習する

- 受信者から各宛先がどう見えるか確認する

- 送信前にTo・CC・BCCを別々に確認する

- 大量配信では通常のメールを使わない

研修では、実際の顧客情報を使用せず、必ず社内のテスト用アドレスを使います。

「BCCを知っていますか」と質問するだけでは不十分です。実際にOutlookを操作し、受信側でどのように表示されるかまで確認することが重要です。

メールアドレスも個人情報になり得る

BCC教育と一緒に、必ず伝えなければならないことがあります。

それは、メールアドレスも個人情報になり得るということです。

メールアドレスは、単なる文字列や連絡先ではありません。

例えば、次のように氏名や会社名が含まれているアドレスは、それだけで本人を特定できる可能性があります。

`kojin.ichiro@example.co.jp`

個人情報保護委員会は、ユーザー名やドメイン名から特定の個人を識別できるメールアドレスは、単独でも個人情報に該当すると説明しています。

アドレスだけでは本人を特定できなくても、氏名、会社名、所属、顧客名簿などと容易に照合できる場合は、全体として個人情報に該当することがあります。

さらに、一斉メールではメールアドレス以外の情報まで推測される可能性があります。

- その企業の顧客である

- 採用に応募している

- 特定のイベントに参加した

- 特定のサービスを利用している

- 特定の病気や悩みに関する案内を受けている

つまり、BCCの設定ミスで漏れるのは、メールアドレスだけとは限りません。

その人が「どの集団に所属しているか」という事実まで漏れる可能性があります。

BCC教育は情報セキュリティ教育である

BCCの使い方は、単なるOutlookの操作方法ではありません。

メールアドレスを個人情報として守り、顧客や取引先のプライバシーを保護するための情報セキュリティ教育です。

新入社員だけでなく、次の人にも定期的な教育が必要です。

- 中途入社した社員

- パート・アルバイト

- 派遣社員

- メール配信を担当する委託先

- イベントや採用を担当する社員

- 顧客リストを扱う社員

BCC事故を防ぐためには、少なくとも次の3点を、組織の共通知識にする必要があります。

1. OutlookではBCCが隠れている場合がある

2. BCCで送るべきメールをToやCCで送ると、大量流出につながる

3. メールアドレスも個人情報になり得る

「知らなかった」で数千件の情報が流出する前に、操作方法と情報管理の両方を教育しておきましょう。