サッカーJ1の京都サンガF.C.は2026年9月8日、ファンクラブ会員の個人情報1万5612人分が外部に流出したと公表した。原因は職員によるメールの誤送信で、取引先企業へ送るメールに会員情報のファイルを誤って添付していた。クラブは誤送信の判明後ただちに削除を依頼し、約2時間後に消去を確認している。それでも、受信した11名のうち2名がファイルを開封した事実は残った。
送信から判明まで5時間
クラブの公表によると、誤送信が発生したのは9月2日11時15分。担当者が取引先企業の担当者にメールを送る際、ファンクラブ会員情報が記載されたファイルを誤って添付した。含まれていたのは2026年7月3日時点の保有データで、1万5612人分にあたる。
誤送信が判明したのは同日16時29分。発生から5時間以上が経過していた。クラブは判明後ただちに取引先企業へ連絡してメールと添付ファイルの削除を依頼し、18時25分に完全な消去を確認したとしている。送信から消去確認までは約7時間だった。
ただし、その間にメールを受信した11名のうち2名がファイルを開封したことが確認されている。クラブは9月8日時点でも確認を続けており、二次的な情報の流出は確認されていないとしている。
漏えいしたのは「本人を特定できる情報」
流出した項目は、氏名、住所、メールアドレス、電話番号、生年月日、性別に加え、ファンクラブのコース、JリーグID、ファンクラブ入会日・退会日、ワンタッチパスID、デジタル会員証番号、シーズンパス席種、スクール会場・コースである。クレジットカード情報や口座情報など決済に関わる情報は含まれていない。
決済情報が含まれなかったことは被害の抑制につながる。一方で、氏名・住所・電話番号・生年月日という組み合わせは、本人を特定するには十分な情報だ。加えてJリーグIDや、Jリーグの観戦サービスで使うワンタッチパスIDといったサービス固有の識別子が揃っているため、クラブやリーグを名乗るフィッシングの材料になりうる。決済情報の有無だけで深刻度を測れる事案ではない。
個人情報保護委員会への報告と対象者への連絡
クラブは本件を個人情報保護委員会に報告し、その指導のもとで9月4日から対象者に個別の報告と謝罪を行っている。公表は9月8日だが、対象者への連絡は発生から2日後に始まっていたことになる。
再発防止策として、個人情報を含む電子データへのアクセス制限、パスワードの管理、メール送信時における添付ファイルの再確認の徹底を挙げている。あわせて9月7日付で社内に「情報管理に関する対策委員会」を設置し、既存のセキュリティシステムや社内ルールの見直し、社内教育の強化に取り組むとしている。
「気をつける」だけでは止まらない
メールの誤送信は、技術的な攻撃を一切必要としない事故だ。攻撃者の関与もマルウェアもなく、日常業務の一手順が狂うだけで起きる。それでいて、一度送信すれば取り戻す手段は相手の善意に頼るしかない。今回のように受信側が協力的で、当日中に消去まで到達できたのは、早期に収束できたケースといえる。
注目したいのは、クラブの再発防止策が「添付ファイルの再確認」だけで終わっていない点だ。データへのアクセス制限とパスワード管理が並んでいる。送信前の確認は、担当者の注意力に依存する対策である。実際、誤送信を防ぐルールを持たない組織はほとんどないだろう。それでも事故は起き続けている。
より効果があるのは、誤って送っても被害が出にくい状態を先に作っておくことだ。個人情報を含むファイルをそもそも手元にダウンロードできないようにする、持ち出すなら暗号化とパスワード保護を強制する、宛先の外部ドメインを検知して送信を一時保留する——いずれも人の注意力とは無関係に働く。
自組織で「顧客情報の一覧をエクスポートできる人は誰か」「そのファイルは持ち出せる状態にあるか」を確認してみる価値はある。1万5612人分のデータが1つのファイルとして担当者の手元に存在した、という点が今回の事案の出発点だからだ。
同じ手口に、自社は備えられていますか？