事例研究:手作業で抽出したデータを誤添付したメール誤送信

　株式会社東急モールズデベロップメントから25734件の個人情報を誤って添付した #メール誤送信 です。  

気になる点を書きます。  

＊クレジットカード番号の一部とはいえ、氏名と有効期限、決済会社、日時、金額が2万件以上流出したというのは、重大な案件と考えます。  

＊決済データ管理システムで、手作業でデータを抽出し、手作業で該当店舗にメールで送るという作業です。定常業務だとしたら、間違える要素が多い印象です。情報システムで自動的な対応が好ましい内容です。  

＊再発防止策として、当面取りやめるとなっているのは、根拠のない情報提供だとしたら、そのあたりもきちんと整理する必要があります。場合によっては、完全に匿名化する手もあります。  

＊一般論として、個人情報を含むファイルは、暗号化するなどの保護が必要です。できれば添付（PPAP）ではなく、履歴の確認ができるファイル転送サービスを使って、万一誤ったと気づいたときには止められる方法が良いでしょう。    

今回の報道のリンクと抜粋は、以下のとおりです。 

https://www.tokyu-tmd.co.jp/wp-content/uploads/2025/12/newsletter-tmd-20251223.pdf

  【抜粋】

 当社運営施設における個人情報漏えいについて（お詫びとご報告）

 この度、株式会社東急モールズデベロップメント（以下、当社）が運営する施設「エトモ」の 業務におきまして、個人情報の漏えい事案（以下、本件）が発生いたしました。 お客さまならびに関係者の皆さまに多大なるご迷惑とご心配をおかけいたしましたこと、深く お詫び申し上げます。
 本件に関する経緯および対応につきまして、下記のとおりご報告いたします。 

　　　記 

１．概要
 2025年12月1日（月）、当社従業員が「エトモあざみ野」内出店店舗（1店舗）に対し、2025 年11月度のクレジットカード決済データを共有する際、誤って「エトモ（全13施設）」全出 店店舗の決済データを添付したメールを送信いたしました。
 2025年12月2日（火）、メール送信先出店店舗からのご指摘により本件が発覚いたしました。 

２．漏えいした個人情報 

(1) 情報の項目：
①ローマ字表記による個人名
➁クレジットカード番号（カード番号の一部が隠されている状態のもの）
③クレジットカードの有効期限
④アクワイアラー（クレジットカード決済会社）情報
➄決済日時
⑥決済金額 

(2) 件数：25,734件 

(3) 漏えい先：メール送信先出店店舗 メールアドレス２件 

３．経緯と対応

 本件発覚後、直ちにメール送信先出店店舗のメールアドレス２件に対し、当該メールおよび ダウンロードされたデータの完全な削除を依頼し、同日中に削除が完了したことを確認して おります。なお、現時点において、本件に伴う個人情報の不正利用等、二次被害は確認され ておりません。また、法令に基づき監督官庁である個人情報保護委員会への報告は完了して おります。 

４．原因

 決済データ管理システムからのデータ抽出時における条件の誤設定、およびその後のメール 送信時における添付ファイルの確認不足によるものです。 

５．再発防止策

 今回の事態を厳粛に受け止め、以下の対策を講じてまいります。 

(1) 出店店舗へのクレジットカード決済データの共有を目的としたデータ抽出業務を今後、 取り止めます。 

(2) 個人情報を取り扱う全業務のプロセスを全面的に見直し、管理体制を強化するとともに、 全従業員への教育を再度徹底し、再発防止に万全を期してまいります。