学校・教育機関のサイバー攻撃・情報漏洩事例と対策

学校法人KBC学園は2026年8月17日、ダイレクトメールの誤送付により、2,471名分の氏名が漏えいしたと公表しました。発送用データを作成する際の行削除ミスにより、宛名と住所の組み合わせが1行ずつずれたことが原因です。 本件は、保護者から「ダイレクトメールの宛名と送付先住所が一致していない」との連絡を受けて発覚しました。KBC学園が漏えいした項目として公表しているのは氏名で、住所の漏えいは公表していません。 対象者には事案の経緯と謝罪を記載した書面を個別に郵送し、8月12日までに発送を完了しています。8月17日の公表時点で、二次被害や不正利用の報告は確認されていません。 KBC学園のダイレクトメール誤送付のサマリー KBC学園は2026年8月17日、ダイレクトメールの誤送付による個人情報漏えいを公表しました 2026年8月3日、案内を受け取った保護者からの連絡で、宛名と送付先住所のずれが判明しました 対象者は2,471名です 漏えいした個人情報として公表された項目は氏名です 発送用データの作成時に発生した「行の削除ミス」が原因です 削除ミスにより、宛名と住所が1行ずつずれた状態で発送データが作成されました ダイレクトメールの発送日、発送通数、誤送付先の範囲は公表されていません 住所の漏えいは公表されていません 対象者への経緯説明と謝罪の書面は、8月12日までに発送を完了しています 8月17日時点で、二次被害や不正利用の報告は確認されていません 再発防止策として、複数名による発送データの検証・照合を徹底するとしています 個人情報保護委員会など関係機関への報告については、公表資料から確認できませんでした 項目 内容 公表日 2026年8月17日 発覚日 2026年8月3日 対象組織 学校法人KBC学園 インシデント ダイレクトメールの宛名と送付先住所が一致しない状態での誤送付 発覚経緯 案内を受け取った保護者からの連絡 原因 発送用データ作成時の行削除ミス 漏えいした情報 氏名 対象人数 2,471名 住所の漏えい 公表されていません 二次被害・不正利用 2026年8月17日時点で報告は確認されていません 対象者への対応 経緯と謝罪を記載した書面を個別郵送。8月12日までに発送完了 再発防止策 複数名によるデータ検証・照合の徹底 個人情報保護委員会への報告 確認できませんでした 保護者からの連絡で宛名と住所のずれが発覚 KBC学園は、沖縄県内で7校の専門課程と1校の高等課程を展開する学校法人です。公式サイトによると、グループ全体の在校生は2,000名を超えています。 今回の事案は2026年8月3日、案内を発送した保護者からKBC学園へ連絡があり、ダイレクトメールの宛名と送付先住所にずれが生じていることが判明しました。 公表資料にはダイレクトメールを発送した日付や通数、案内の内容、どのグループ校に関係する発送だったかは記載されていません。このため、2,471名全員について誤った氏名が第三者へ閲覧されたのか、発送対象者のうち2,471名が影響を受けたのかなど、詳細な発送範囲は確認できませんでした。 一方、KBC学園は本件を「個人情報漏えい事案」と位置付け、対象人数を2,471名、漏えい項目を氏名と公表しています。 行の削除ミスで氏名と住所の対応関係が崩れる KBC学園が調査した結果、原因は発送用データを作成する際のデータ処理ミスでした。作業中に行を誤って削除したことで、宛名と住所が1行ずつずれた状態の発送データが作成され、そのままダイレクトメールの発送に使用されました。 表計算ソフトやCSVなどで氏名と住所を管理する場合、一部の列や行だけを削除、並べ替え、貼り付けすると、氏名と住所の対応関係が崩れることがあります。見た目上は氏名と住所がすべて入力されているため、件数確認だけでは異常を発見できない点が特徴です。 今回と類似する事案として、フジプラスでも住所データだけを並べ替えたことで、氏名と住所の組み合わせが一致しないダイレクトメールが発送されています。詳細は「フジプラス、宛名データ不備でDM誤送付、氏名が第三者に閲覧される可能性」で解説しています。 漏えい項目は氏名、住所漏えいは公表せず KBC学園が漏えいした個人情報として挙げたのは、2,471名分の氏名です。ダイレクトメールは、本来の送付先住所に別人の氏名が組み合わされた状態で送られたとみられますが、公表資料では住所を漏えい項目に含めていません。 したがって、本件を「2,471名分の氏名と住所が漏えいした」と表現することはできません。確認されているのは、誤った住所との組み合わせで別人の氏名が記載されたダイレクトメールが送付され、氏名が第三者に知られる状態になったことです。 電話番号、メールアドレス、生年月日、成績、在籍校など、氏名以外の情報がダイレクトメールに記載されていたとの発表もありません。ダイレクトメールの内容から、対象者とKBC学園との関係をどの程度推測できる状態だったかも確認できませんでした。 対象者への通知は8月12日までに完了 KBC学園は、対象者に対して事案の経緯と謝罪を記載した書面を個別に郵送し、2026年8月12日までに発送を完了しました。その後、8月17日に公式サイトで事案を公表しています。 公表時点で、本件に起因する個人情報の二次被害や不正利用の報告は確認されていません。ただし、誤って届いたダイレクトメールの回収状況や廃棄依頼の有無については、公表資料に記載されていません。 また、個人情報保護委員会、沖縄県、文部科学省など関係機関への報告についても確認できませんでした。報告していないと断定することはできず、公表資料に記載がない状態です。 再発防止策は複数名によるデータ検証と照合 KBC学園は再発防止策として、今後のデータ作成と発送業務において、複数名によるデータ検証・照合のチェック体制を徹底するとしています。 複数名による確認は重要ですが、氏名と住所の組み合わせが全件異なる発送データでは、目視だけで2,000件を超える対応関係を確認することは現実的ではありません。人的な確認に加えて、データ処理の手順そのものを制御する必要があります。 発送データを扱う組織では、次のような対策が考えられます。 氏名や住所ではなく、変更されない管理番号を使ってデータを結合する 元データを直接編集せず、発送用データを別ファイルとして自動生成する 行や一部列の削除、並べ替え、貼り付けを制限する 変換前後の件数、管理番号、重複、欠番を自動照合する 発送前に元データと出力データの氏名・住所の組み合わせを自動比較する 先頭・末尾だけでなく、無作為抽出した複数件の印字結果を確認する データ作成者と承認者を分け、承認記録を残す 発送後に誤りが判明した場合の停止、回収、対象者通知の手順を整備する 学校・教育機関への示唆 学校や教育機関では、学生本人だけでなく、保護者、資料請求者、卒業生、オープンキャンパス参加者など、複数の関係者情報を扱います。同一世帯の住所、保護者氏名、学生氏名が混在するため、発送データの作成時には誰に何を送るのかを識別する管理番号が重要です。 今回の原因はサイバー攻撃ではなく、内部のデータ処理作業における誤りです。アクセス制御やウイルス対策だけでは防止できません。個人情報を外部へ出力する業務を対象に、元データの抽出、加工、承認、印刷、発送までを一つの管理工程として設計する必要があります。 特に、行削除や並べ替えを伴う手作業を残す場合は、作業者の注意力に依存せず、変更前後の対応関係が崩れた場合に処理を停止できる仕組みを導入することが再発防止につながります。 出典 個人情報漏洩に関するお詫び - 学校法人KBC学園グループ 事業領域・グループ一覧 - 学校法人KBC学園グループ

学校・教育機関のサイバー攻撃・情報漏洩事例と対策

KBC学園、DM誤送付で2,471名分の個人情報漏洩-行削除ミスで宛名と住所が1行ずれる