京都サンガF.C.、ファンクラブ会員1万5,612人分の個人情報をメール誤送信　11人が受信、2人が添付ファイルを開封

京都サンガF.C.は2026年9月8日、職員が取引先企業へメールを送信する際、ファンクラブ会員1万5,612人分の個人情報を含むファイルを誤って添付し、外部へ送信したと公表しました。

誤送信が発生したのは9月2日11時15分です。メールは取引先企業の関係者11人へ送信され、うち2人が添付ファイルを開封したことが確認されています。

対象情報には、氏名、住所、メールアドレス、電話番号、生年月日、性別、ファンクラブのコース、JリーグID、ファンクラブ入会日・退会日、ワンタッチパスID、デジタル会員証番号、シーズンパス席種、スクール会場・コースが含まれます。クレジットカード情報や口座情報などの決済情報は含まれていません。

京都サンガF.C.は同日中に取引先へ削除を依頼し、18時25分にメールと添付ファイルの完全消去を確認しました。9月8日時点で二次的な情報流出は確認されていません。

京都サンガF.C.の個人情報誤送信のサマリー

• 京都サンガF.C.は2026年9月8日、ファンクラブ会員情報のメール誤送信を公表しました。
• 誤送信が発生したのは9月2日11時15分です。
• 担当者が取引先企業へメールを送信する際、ファンクラブ会員情報を含むファイルを誤って添付しました。
• 対象は2026年7月3日時点で保有していたファンクラブ会員1万5,612人分です。
• メールは11人が受信し、うち2人が添付ファイルを開封したことが確認されています。
• 漏えいした情報には氏名、住所、メールアドレス、電話番号、生年月日、性別などが含まれます。
• JリーグID、ワンタッチパスID、デジタル会員証番号、シーズンパス席種なども対象です。
• クレジットカード情報や口座情報など、決済に関する情報は含まれていません。
• 京都サンガF.C.は誤送信発覚後、同日16時29分に取引先へ削除を依頼しました。
• 同日18時25分、メールと添付ファイルが完全に消去されたことを確認しています。
• 9月8日時点で二次的な情報流出は確認されていません。
• 個人情報保護委員会へ報告済みで、9月4日から対象者への個別通知を開始しています。
• 9月7日には「情報管理に関する対策委員会」を設置しました。

項目	内容
公表日	2026年9月8日
発生日	2026年9月2日 11時15分
対象組織	京都サンガF.C.
インシデント	個人情報を含むファイルのメール誤送信
対象人数	15,612人
メール受信者	11人
添付ファイル開封	2人
対象情報	氏名、住所、メールアドレス、電話番号、生年月日、性別、ファンクラブ関連情報など
決済情報	クレジットカード情報・口座情報は含まれず
削除依頼	9月2日16時29分
完全消去確認	9月2日18時25分
二次流出	9月8日時点で確認されていない
対象者への通知	9月4日から個別通知
個人情報保護委員会	報告済み
再発防止	情報管理に関する対策委員会を9月7日に設置

ファンクラブ会員情報1万5,612人分を取引先へ誤送信

京都サンガF.C.によると、担当者が9月2日11時15分、取引先企業の担当者へメールを送信する際、本来送信すべきではないファンクラブ会員情報のファイルを誤って添付しました。

ファイルには、2026年7月3日時点で京都サンガF.C.が保有していた1万5,612人分のファンクラブ会員情報が含まれていました。

メールの受信者は11人です。

京都サンガF.C.は、このうち2人が添付ファイルを開封したことを確認しています。

今回の事案は、不正アクセスやマルウェア感染による情報窃取ではありません。担当者によるメール添付ファイルの誤送信によって、個人情報が社外の受信者へ送信されたものです。

したがって、「個人情報が漏えいした可能性がある」のではなく、取引先の11人へ個人情報ファイルが送信された時点で外部への漏えい自体は確認された事案です。

一方、受信者からさらに第三者へ転送・共有されたといった二次的な情報流出については、9月8日時点で確認されていません。

氏名・住所・電話番号・生年月日、JリーグIDなどが対象

漏えいしたファイルに含まれていた情報は次のとおりです。

• 氏名
• 住所
• メールアドレス
• 電話番号
• 生年月日
• 性別
• ファンクラブのコース
• JリーグID
• ファンクラブ入会日
• ファンクラブ退会日
• 現会員の有効期限
• ワンタッチパスID
• デジタル会員証番号
• シーズンパス席種
• スクール会場・コース

京都サンガF.C.は、クレジットカード情報や口座情報など、決済に関係する情報は含まれていなかったとしています。

今回の対象情報には、氏名や連絡先だけでなく、ファンクラブの利用状況やJリーグ関連ID、シーズンパス席種なども含まれています。

これらの情報だけで直ちにJリーグのサービスや決済アカウントへ不正ログインできるとは限りませんが、氏名、住所、電話番号、生年月日、メールアドレスが組み合わさることで、本人を特定したフィッシングやなりすまし連絡へ悪用される可能性があります。

誤送信当日に削除依頼、約2時間後に完全消去を確認

京都サンガF.C.は、誤送信が判明した9月2日16時29分、取引先企業へ連絡し、該当メールと添付ファイルの削除を依頼しました。

その後、同日18時25分に取引先から、メールと添付ファイルが完全に消去されたことを確認しています。

誤送信発生は11時15分だったため、発生から削除依頼までは約5時間14分、完全消去の確認までは約7時間10分です。

京都サンガF.C.はその後も確認を続け、9月8日時点では二次的な情報流出は確認されていないとしています。

公表資料では、添付ファイルを開封した2人がファイルを保存・複製したかどうかについて個別の記載はありません。一方、取引先企業から該当メールおよび添付ファイルの完全消去を確認したとしています。

個人情報保護委員会へ報告、9月4日から対象者へ個別通知

京都サンガF.C.は、本件を個人情報保護委員会へ速やかに報告したとしています。

また、9月4日から対象となるファンクラブ会員へ個別に事案の報告と謝罪を開始しました。

今回の事案では1万5,000人を超える個人情報が誤送信されているため、対象者への通知と並行して、外部への追加拡散がないかを継続して確認する必要があります。

対象者側では、京都サンガF.C.やJリーグ、ファンクラブ、チケット関連サービスなどを装ったメール・SMS・電話が届いた場合、記載されたURLや連絡先だけを信用せず、公式サイトや公式アプリから確認する方法があります。

現時点で、今回の漏えい情報を悪用したフィッシングや不正利用が確認されたとの発表はありません。

再発防止でアクセス制限、パスワード管理、添付確認を見直し

京都サンガF.C.は再発防止策として、個人情報を含む電子データへのアクセス制限やパスワード管理、メール送信時の添付ファイル確認を改めて徹底するとしています。

さらに9月7日付で、社内に「情報管理に関する対策委員会」を設置しました。

同委員会では、

• 既存セキュリティシステムの見直し
• 社内ルールの見直し
• 社内教育の強化
• 再発防止策の策定・推進

を進めるとしています。

第一報では、誤送信防止システムの導入や、添付ファイルの自動検査・送信保留・承認フローなど、具体的な技術対策までは公表されていません。

メール誤送信は「宛先確認」だけでは防ぎにくい

メール誤送信では、BCCとTOの取り違え、宛先入力ミス、添付ファイルの選択ミス、不要なシートや列を含むファイルの送信など、複数の原因があります。

今回の事案は「宛先を間違えた」のではなく、正しい取引先へメールを送る際に、別用途の個人情報ファイルを誤って添付したケースです。

そのため、一般的な「送信前に宛先を再確認する」対策だけでは防止できません。

企業側では、次のような対策を組み合わせる方法があります。

• 個人情報ファイルを一般的な共有フォルダやローカルPCへ不用意に保存しない
• 個人情報を扱うファイルへアクセスできる担当者を制限する
• 個人情報ファイルをメール添付できないルール・仕組みを検討する
• 外部宛メールに添付ファイルがある場合、送信を一定時間保留する
• 大量の個人情報を含むファイルを添付した場合に警告・遮断する
• 上長承認やダブルチェックを必要とする条件を設定する
• 添付ファイルをURL化し、送信後でもダウンロードを停止できる仕組みを利用する
• 個人情報を扱うファイルの保管期間を見直す
• 送信前確認を個人の注意力だけに依存させない

関連記事：メール誤送信の事例と対策

「削除確認」で確認したい範囲

メール誤送信の初動では、受信者へ削除を依頼する対応が一般的です。

ただし、メールサーバーやメールクライアントから削除されたことと、情報の複製が存在しないことは必ずしも同じではありません。

たとえば添付ファイルが、

• PCへ保存された
• クラウドストレージへ自動同期された
• メールセキュリティ製品に保管された
• バックアップへ保存された
• 転送された

場合、メール本体の削除だけでは完全な消去にならないケースがあります。

今回、京都サンガF.C.は取引先企業から「当該メールおよび添付ファイルは完全に消去された」と確認したとしています。

企業が同様の誤送信へ対応する場合は、単に「メールを削除してください」と依頼するだけでなく、添付ファイルの保存・転送・クラウド同期の有無まで確認できる手順を用意しておくと、影響範囲を判断しやすくなります。

情報システム・個人情報管理部門への示唆

今回の事案は、サイバー攻撃ではなく人為的なメール誤送信ですが、1回の操作ミスで1万5,000人を超える個人情報が外部へ送信されています。

情報システム部門や個人情報管理部門では、次の項目を確認できます。

• 1万件単位の個人情報ファイルをメールへ添付できる状態になっていないか
• 個人情報ファイルへのアクセス権限を業務上必要な担当者へ限定しているか
• ファイル名だけで個人情報の有無を識別できるか
• メール添付時にDLPや誤送信防止機能で検知できるか
• 外部宛メールを一定時間保留し、取り消せるか
• 高リスクな添付ファイルは上長承認を必要としているか
• 個人情報を添付せず、アクセス制御付きファイル共有へ切り替えられるか
• 誤送信発生時の削除依頼・証跡確認手順が決まっているか
• 個人情報保護委員会への報告判断を行う責任者が決まっているか
• 対象者へ迅速に通知できる連絡手段を確保しているか

メール誤送信は教育だけではなく、アクセス制御、DLP、送信保留、承認、ファイル共有など複数の仕組みで事故発生時の影響を小さくできます。

京都サンガF.C.は今後、情報管理に関する対策委員会で再発防止策を策定・推進するとしています。

出典

• ファンクラブ会員情報誤送信による個人情報の漏えいについて – 京都サンガF.C.