三菱ガス化学は2026年10月16日、人事関連システムの導入業務を委託している株式会社T4Cの従業員が、三菱ガス化学の元従業員らの個人情報を含む資料を、誤って第三者に電子メールで送信したと発表した。資料には、2005年10月31日から2025年7月31日までに退職した全員（2,092人）と、現在就業している従業員1人の氏名および社員番号が含まれていた。同社によると、ファイルは送信先で開封されないまま削除されたことが確認されており、二次被害も確認されていない。
他社宛てのメールに資料を誤って添付
同社の発表によると、誤送信は2026年9月16日に起きた。T4Cの従業員が、三菱ガス化学の委託業務に関する資料を、他社宛ての電子メールに誤って添付して送信した。同日中に送信先からの連絡で誤送信が分かり、T4Cが削除を依頼した。ファイルが開封されずに削除されたことも同日中に確認したという。
誤って送られた資料に含まれていた情報は、次のとおりである。
- 2005年10月31日から2025年7月31日までの間に退職した全員（2,092人）の氏名、社員番号
- 現在就業している従業員1人の氏名、社員番号
ファイルは送信先で開封されていないが、同社は個人情報保護法上の個人データの漏えい等が発生したおそれがあったものとして、T4Cとともに10月15日に個人情報保護委員会へ報告した。退職者への個別の連絡が難しいため、今回の公表をもって報告に代えるとしている。
再発防止は「メールでのファイル送付を原則やめる」
再発防止策として、同社はT4Cに対し、電子メールによるファイル送付の原則廃止や、送信前の確認の徹底を求めた。同社自身も、委託先が個人情報を適切に取り扱っているかを確認するなど、監督を強めるとしている。
委託先に渡したデータは、自社から見えにくくなる
今回の事案では、送信先がすぐに連絡し、ファイルも開封されないまま削除された。二次被害も確認されていない。それでも同社は、個人データの漏えい等が発生したおそれがあったとして公表し、委託先とともに個人情報保護委員会へ報告した。委託先で起きた事案であっても、委託した側が説明と報告の責任を負う点は見落とせない。
人事システムの導入やデータの移行では、従業員や退職者の名簿をまとめて委託先に渡す場面が生じやすい。いったん渡したデータは、委託先のメールやファイル共有の運用に左右され、自社からは見えにくくなる。今回の資料には約20年分の退職者全員が含まれていた。委託先に渡すデータが作業に必要な範囲に収まっているかは、渡す前に確かめておきたい点である。
委託先に渡すデータを作業に必要な項目と期間に絞ること、メールにファイルを添付するのではなく、アクセスできる人を限った共有の仕組みを使うことは、多くの企業が比較的すぐに見直せる対策である。委託先の取り扱いを契約で定めるだけでなく、実際の運用まで確かめる仕組みを持つことが、取引先を含めたセキュリティを保つうえで欠かせない。
同じ手口に、自社は備えられていますか？