TL;DR
- 01何が起きたか
2026 年 9 月 28 日、東京都住宅供給公社が、都営住宅の自治会長宛てに「排水管清掃の申込方法変更のお知らせ」1,997 通を発送した。そのうち 846 通で宛先が誤っており、770 通が本来の宛先とは別の住民に届いた。届いたのは都営住宅の自治会長 770 名の氏名で、公社と東京都住宅政策本部が 10 月 16 日に公表した。
- 02なぜ気づけなかったか
サイバー攻撃ではない。Excel の一覧から宛名ラベルを作る際に、住棟・号室を誤った部分から取り、気づかないまま貼り付けた。ラベルは見た目には正しい宛名で、元の一覧と突き合わせなければ誤りは分からない。誤りに気づいたのは、公社ではなく、受け取った住民で、発覚は発送の 15 日後だった。
- 03欠けていた層
効かなかったのは、発送の直前に、宛先と一覧の対応を作業者とは別に確かめる層である。
何が起きたか
- 業務
- 都営住宅の維持管理に関する、自治会長宛ての通知の発送。公社は、東京都の政策連携団体として、都営住宅の維持管理業務を受託している。
- 誤送付の内容
- 通知「排水管清掃の申込方法変更のお知らせ」。宛名ラベルが誤り、本来とは別の住棟・号室の住民に届いた。
- 件数
- 発送 1,997 通のうち 846 通が誤り。76 通は返送され、770 通が本来の宛先以外の住民に届いた。
- 含まれる情報
- 都営住宅の自治会長 770 名の氏名。住所が漏れたとの記載は、公表にない。
- 誤りの中身
- Excel の一覧から宛名ラベルを作る際に、住棟・号室を誤った部分から引用した。どの列を取り違えたかは公表されていない。
- 確認されていないこと
- 第三者への二次的な流出や不正利用は、公表では触れられていない。
用語メモ
宛名ラベル — 封筒に貼る、宛先の住所・氏名を印字したラベル。今回は Excel の一覧から作られた。
政策連携団体 — 東京都と連携して都の政策を担う団体。公社はその一つとして、都営住宅の維持管理を受託している。
取り返しがつかなくなったのは ④ の発送。公表には、③ と ④ の間に、ラベルを元の一覧と照合する手順があったかの記載が無い。
一覧には団地・住所・氏名がある。
どの列を取り違えたかは非公表。
ラベルは見た目には正しい宛名。
846 通が誤り、770 通が別の住民に届く。
発送の根拠になったのは、参照する箇所を誤って作られたラベルである。問題は、そのラベルが元の一覧と照合されないまま、4 の発送まで通ったことにある。
時系列 — 公表と対応
- 通知を発送。
- 誤配を受けた住民が公社に連絡し、判明。
- 住宅政策本部と公社が公表。
本件の事実は、東京都の報道発表に拠る。誤りの具体（どの列を取り違えたか）は「居住する住棟・号室を誤った部分から引用し」という記述にとどまる。発送枚数・誤配数・氏名の件数は公表の値であり、第三者による検証はない。
公表後の対応
- 個別の連絡: 自治会長と、誤配を受けた住民に、個別に連絡して謝罪と説明を行っている。
- 再発防止: 複数の職員によるチェック体制の強化等。
発送から発覚までは 15 日、発覚から公表までは 3 日である。気づきは送付元ではなく、受け取った側から来ている。
なぜ止まらなかったか
この事案の失敗は、作業者の技量でも、外部からの攻撃でもない。発送という実行が、ラベルの内容と元の一覧の対応を確かめる手段を持たないまま行われたことにある。
宛名ラベルは、元の一覧と照合されないまま、発送まで通った。
検出と証明の落差は、ここにある。誤りに気づいたのは公社ではなく、受け取った住民で、その連絡は発送の 15 日後だった。効かなかったのは、その手前である。発送の直前に、このラベルがこの宛先のものとして一覧と合っているかを、作業者の目や記憶とは別に確かめる層は、公表から読む限り無かった。
公社の再発防止策は、複数の職員によるチェック体制の強化である。確認する人数を増やすことは有効だが、確認が行われたこと、何と何を突き合わせたかを、検証可能な形で残すものではない。人の確認は、確認した者の記憶と、確認したという事実にとどまる。
同じ構造は、これまでの Brief にも現れている。TOPPAN×損保ジャパンでは、手作業で束ねた ZIP の中身が、送付前に再確認されなかった。支払基金の目視確認では、確認という行為が実行の証拠として働かなかった。北海道の国立病院の HDD でも、前提が確認されないまま媒体が流出した。いずれも、実行の直前に独立した確認が置かれていない。
「確認した」と「確認できる」は、別々の事実である。前者は人の記憶に残り、後者は実行の前に記録として残る。
対策するには
作業者の誤りそのものは無くせなくても、誤ったラベルを発送の前に止めることはできる。宛名ラベルを元の一覧のどの行から作ったかを残し、発送の直前に、作業者の目とは別の手段で一覧と突き合わせる。合わないものは発送しない。宛名の作成や発送を、システムや AI エージェントに任せるようになっても、同じ照合を発送の前に置く。
注意したい業界・業務
- 業界自治体・公共
- 住民や関係団体への通知を、名簿や一覧から一斉に郵送する自治体や外郭団体。通知には、氏名や役職など、宛先本人以外に見せない情報が載る。
- 業務配信・送付
- 一覧から宛名を作り、封入・貼付して発送する業務。宛名の誤りは、届いた後でなければ表に出ない。
同じ穴は、名簿から郵送物を作る多くの組織にある。差し込み印刷で作る宛名、表計算ソフトの一覧から作るラベル、委託先が作る発送データ。どれも、一覧の参照を一つずらすだけで全件がずれ、作った本人にはもっともらしい宛名に見える。
いまの対策で埋まるか
| 対策 | 今回 | 理由 |
|---|---|---|
| 複数の職員による目視チェック（公社の再発防止策） | 一部 | 誤りに気づく機会は増える。ただ、何と何を突き合わせたかは記録に残らず、もっともらしい宛名は見落とされうる。 |
| 抜き取りでの確認 | 一部 | 全件が同じようにずれた場合は見つけやすい。一部だけずれた場合は、抜き取った中に入らなければ通る。 |
| 個人情報の取扱いの研修 | 一部 | 注意は高まる。参照の取り違えは、注意していても起きる。 |
| メールの誤送信防止ツール | 関係しない | 電子メールの宛先を確かめるもので、紙の郵送には関係しない。 |
- 宛名を、元の一覧の行と結び付けて作る。ラベルの各行に、一覧のどの行から作ったかを残す。参照する列を手で選ぶ作業を減らし、作ったラベルを一覧の行に戻せるようにする。
- 発送の前に、作業者とは別の手段で全件を照合する。ラベルの宛先を元の一覧の行と機械的に突き合わせ、通知の対象の範囲（どの通知を、どの宛先に送るか）から外れた宛先が無いかを確かめる。照合が済むまで発送しない。
- 照合の結果を、作業者の操作とは別に残す。いつ、どの一覧と、どのラベルを突き合わせて通したかを、後から第三者に示せる形で記録する。合わなかったものは発送を止め、その理由も残す。
名簿や一覧から郵送物を作る業務で確かめる 3 項目
- 宛名ラベルや発送データの各行が、元の一覧のどの行から作られたかを、後から辿れるか。
- 発送の前に、作った本人とは別の人か別の手段が、宛名と元の一覧を全件突き合わせているか。合わなければ発送を止められるか。
- 照合したこと、何と何を突き合わせたかが、確認した人の記憶ではなく記録として残っているか。
注：元の一覧そのものが誤っている場合や、照合の後に封入や貼付の段で取り違えた場合は、この照合でも通ってしまう。また、全件の照合が済むまで発送を止める運用にすると、発送は遅れる。
Sources
- 一次・自治体公表東京都 住宅政策本部「個人情報の漏えいについて」
本件は、当事者（東京都・公社）の公表のみを一次とし、独立した第三者による検証や、英語の外部報道は確認できていない。公表は報道発表の 1 件で、手元で確認できる出典は単独である。日本の報道・ブログは出典に含めていない。
参照: 事後の検知が証明にならない論点は「AI時代のサイバー防衛に残された、最後の層」。Pillar の整理はPillar 01 — 来歴証明。