2026年1月、「はばタンPay＋」第4弾の子育て応援枠で、本来の対象ではない19万2812人にチャージ期限の案内が送られました。
政経プラスチャンネルでは当時、なぜ応募していない人に案内が届いたのか、事務局や兵庫県の確認体制はどうなっていたのかを動画で取り上げました。
動画公開時点で県が説明していたのは、再委託先の担当者が対象者を誤って抽出し、事務局のチェックでも気付かなかったという概要まででした。
その後、兵庫県は2026年3月30日、委託事業者と再委託事業者へのヒアリングを踏まえた検証報告書を公表しました。
報告書から見えてきたのは、単純な宛先選択のミスではありません。
- 115万人を超える会員データを複数の表計算ファイルで処理していた
- 本来は数値である欄に文字列や空欄が混在していた
- 2人で同じ抽出を行い結果を照合する作業が実施されなかった
- 委託事業者は配信設定を確認しても、抽出された人数を確認していなかった
- 兵庫県は、事故が起きるまで具体的な作業手順を把握していなかった
担当者一人の錯誤だけでなく、データの扱い方、作業手順、委託先の監督、発注者である県の確認が重なった事案だったということです。
この記事では、1月の誤配信と、前年10月に起きた別の個人情報漏えいを分けた上で、検証報告書が明らかにした原因と残された課題を整理します。
▶ 元動画はこちら
【また誤送信】斎藤知事肝いりのはばタンpay＋で誤送信・対象外の19万人に振り込めメールを送ってしまう…
※元動画は2026年1月20日公開、11分12秒です。
※動画タイトルは公開時の原題です。この記事は、動画内の評価表現とは分けて、兵庫県が後に公表した検証報告書と公式資料で事実関係を更新しています。
結論｜個人の錯誤だけではない多重の確認不足
2026年7月18日時点で確認できる結論は、次の通りです。
- 本来の配信対象は、子育て応援枠のチャージ未了者2万4308人だった
- 実際には21万7120人へ配信され、対象外は19万2812人だった
- 1月のメール誤配信による個人情報漏えいは確認されていない
- 誤抽出の直接原因は、数値欄に文字列や空欄が混在し、差額判定が正しく働かなかったことだった
- 再委託事業者は、2人の抽出結果を照合する確認を実施しなかった
- 委託事業者は配信件数の異常を見落とした
- 兵庫県は事故発生まで具体的な作業手順を把握していなかった
- 検証委員会は、手順の文書化、役割分担の見直し、委託先への確認・監督を求めた
県の最初の発表は「再委託先担当者の錯誤」と説明していました。この説明自体は間違いではありませんが、それだけでは全体像が見えません。
後の報告書では、誤ったデータが作られた後、再委託事業者、委託事業者、発注者である兵庫県の各段階で止められなかった構造が示されました。
特に重要なのは、配信対象が2万4308人のはずなのに、実際の配信先はその約8.9倍に達していたことです。申込者数を上回る異常な件数を、送信前に誰も止められませんでした。
1月16日に起きた19万2812人への誤配信
兵庫県の公式発表によると、2026年1月16日午後6時から、はばタンPay＋事務局がメールとアプリで案内を順次配信しました。
内容は、第4弾「子育て応援枠」の当選者のうち、1月9日時点でデジタル券のチャージが済んでいない人に、1月末の期限を知らせるものでした。
本来の対象者は2万4308人です。
しかし、実際には第1弾から第4弾までのアプリ登録者の一部を含む21万7120人に配信されました。差し引き19万2812人が対象外でした。
事案が発覚したきっかけは、対象の子育て応援枠を購入していない委託事業者の社員にメールが届いたことでした。その社員は過去にはばタンPay＋を利用した兵庫県民で、1月16日深夜に事務局担当者へ連絡しています。
翌17日朝に原因調査が始まり、午前10時ごろに県へ報告。午後4時ごろから対象外の19万2812人に、お詫びと訂正のメールが送られました。公式サイトとアプリでの告知は午後6時ごろでした。兵庫県が記者発表したのは1月19日午後6時です。
時系列にすると、次のようになります。
| 日時 | 動き |
|---|---|
| 1月7日 | 兵庫県が委託事業者へ案内メールの送信を依頼 |
| 1月8日 | 委託事業者が再委託事業者へ対象データの抽出を依頼 |
| 1月9日 | 委託事業者が会員データを再委託事業者へ送付 |
| 1月14日 | 抽出データを基に一斉配信を設定 |
| 1月16日18時以降 | メールとアプリで配信 |
| 1月16日23時ごろ | 対象外で受信した関係者が事務局へ連絡 |
| 1月17日10時ごろ | 委託事業者から兵庫県へ報告 |
| 1月17日16時ごろ | 対象外の受信者へお詫びと訂正を送信 |
| 1月17日18時ごろ | 公式サイトとアプリに告知 |
| 1月19日18時 | 兵庫県が記者発表 |
| 3月30日 | 兵庫県が検証報告書を公表 |
動画公開時点で分かっていたこと
元動画は、県の記者発表翌日の1月20日に公開しました。
当時の公表資料から確認できたのは、本来の対象者数、実際の配信数、対象外の人数、再委託先の抽出作業と事務局のチェックで誤りを止められなかったことです。
県は再発防止策として、委託事業者に原因の精査とダブルチェック体制の徹底を求め、今後メールを配信する際には、チェック結果をその都度県へ報告するよう指導するとしていました。
ただし、この段階では次の点が分かりませんでした。
- どのデータ処理で誤抽出が起きたのか
- ダブルチェックは決められていたのか
- 委託事業者は何を確認したのか
- 県は具体的な作業手順を把握していたのか
- 担当者のミス以外に組織上の原因があったのか
これらを明らかにしたのが、3月30日に公表された検証報告書です。
3月30日に公表された検証結果
兵庫県は、関西大学総合情報学部の准教授を委員長とし、県のDX推進監と民間企業の代表取締役を加えた3人の検証委員会を設置しました。
委員会は2月5日、2月16日、3月13日の3回開かれ、県の担当課、委託事業者A社、再委託事業者B社とC社へのヒアリングを行っています。会議は非公開で、公開された報告書では事業者名もA社、B社、C社と匿名化されています。
検証の対象は、2025年10月23日の個人情報漏えいと、2026年1月16日のメール誤配信の二つです。
報告書が示したのは、二つの事案で直接の技術的原因は異なる一方、現場任せの作業、確認不足、手順の未整備、委託先への監督という共通の課題があったことでした。
10月の情報漏えいと1月の誤配信は別の事案
ここは混同しないよう注意が必要です。
2025年10月23日の事案では、二重申請など無効な手続きをした申請者が、別の申請者の氏名、生年月日、性別、電話番号、メールアドレス、本人確認画像を見られる状態になりました。
県の報告書によると、漏えいの可能性があったのは17件・34人分で、ログ解析により実際の漏えいが確認されたのは15件・30人分です。そのうち1人についてはマイナンバーも漏えいしました。
原因は、通常の申請情報を保管するサーバーと、無効な申請のエラー情報を保管するサーバーの連携不具合です。別人のマイページにつながるURLが表示される状態になっていました。
一方、2026年1月の事案は、チャージ期限の案内を送る対象者の抽出ミスです。県は、この誤配信による個人情報漏えいはなかったと発表しています。
整理すると、次のようになります。
| 項目 | 2025年10月23日 | 2026年1月16日 |
|---|---|---|
| 事案 | 個人情報漏えい | メール・アプリの誤配信 |
| 直接原因 | 二つのサーバーの連携不具合 | 対象者データの誤抽出 |
| 影響 | 30人分の漏えいを確認 | 対象外19万2812人に案内 |
| 個人情報漏えい | あり | なしと県が発表 |
「19万人分の個人情報が漏れた」という意味ではありません。また、同じプログラムの同じ不具合が繰り返されたわけでもありません。
ただし、同じ事業の中で、短期間に情報管理と配信管理の問題が続いたことは事実です。個別原因が異なるからこそ、システム開発と日常運用の両方を点検する必要があります。
誤配信を生んだデータ抽出
報告書によると、委託事業者A社は、複数の表計算ファイルを結合し、115万人を超える全会員データを再委託事業者C社へ送りました。
C社は「当選金額」と「チャージ金額」を突き合わせ、その差がある利用者をチャージ未了者として抽出しました。
ところが、一部のファイルでは本来数値が入る欄に文字列や空欄がありました。このため比較処理が正しく行われず、本来は購入済みまたは対象外の利用者にも「差がある」と判定され、配信対象に含まれました。
ここで問題なのは、データの不整合そのものだけではありません。
大規模なデータ処理では、空欄、文字列、重複、異常値が混ざることを前提に、入力形式の検証やエラー処理を組み込む必要があります。結果の件数が想定範囲に収まっているかを確認することも基本的な安全策です。
今回の抽出結果は、本来の2万4308人を大きく上回っていました。処理の途中で異常値を検知する仕組み、または送信直前に対象件数を照合する手順が機能していれば、誤配信を止められた可能性があります。
実施されなかった照合
再委託事業者C社では、本来、2人が同じ抽出作業を行い、結果が一致することを確認してからA社へ送る想定でした。
しかし、実際には1人の作業結果だけが送られました。
報告書は、抽出を何度も行ってきたことによる慣れと、結果的に時間がなくなったことを理由として挙げています。複数人で確認するルールはあったものの、文書化されておらず、今回は実施できませんでした。
これは「ダブルチェックを増やす」と言うだけでは解決しにくい問題です。
確認する人が同じ操作を同じ前提で繰り返せば、同じ誤りを見逃すことがあります。誰が、何を、どの基準で、どの証拠を残して確認するのかまで定めなければなりません。
例えば、今回であれば次の確認が考えられます。
- 抽出処理を別々に行い、結果を照合する
- 数値欄に文字列や空欄がないか機械的に検査する
- 本来の申込者数を超えていないか確認する
- 無作為に選んだ対象者が本当にチャージ未了か確かめる
- 送信前に件数、条件、作業者、確認者を記録する
人を一人増やすだけでなく、異なる観点の確認を組み合わせる必要があります。
委託事業者が見落とした配信件数
再委託事業者からデータを受け取ったA社は、一斉配信サービスの設定内容を確認しました。
しかし、報告書によると、抽出された「件数」までは意識していませんでした。そのため、申込者数を上回る人数が抽出されていることに気付きませんでした。
委託業務では、再委託先が作ったデータであっても、元の委託事業者の確認責任がなくなるわけではありません。報告書も、A社はC社の業務について責任を負うことを前提に、作業やスケジュールの提出を求めるべきだったと指摘しています。
配信文面と送信時刻が正しくても、宛先が正しいとは限りません。大量配信では、少なくとも対象条件、対象件数、除外条件、サンプル確認を別々の項目として承認する必要があります。
事案後に手順を知った兵庫県
報告書には、兵庫県が具体的な作業手順を今回の事案で初めて報告され、そこで認識したと記されています。
県は1月7日に委託事業者へ配信を依頼し、対象者への文案も作成していました。一方、115万人を超えるデータをどのように結合し、誰が抽出し、誰が確認するのかという運用の詳細は把握していませんでした。
行政が業務を委託することと、結果の確認まで委託先に任せることは同じではありません。
県がすべての操作を自ら行う必要はありませんが、個人情報を含む大量データを扱う以上、作業手順、役割分担、異常時の停止基準、確認記録を提出させ、実施状況を監督する責任があります。
検証委員会も、委託事業者にすべてを任せず、県が事業実施手順を確認し、その通りに行われているかを監督する必要があると指摘しました。
検証委員会が示した再発防止策
報告書の提案は、1月の誤配信だけに限らず、県が発注するシステム開発や運用全体を対象にしています。
県に求めた主な対応は、次の通りです。
- 情報システムの開発や変更を委託する前に、県庁内のデジタル担当部署へ相談する
- 安全性を確保できる開発・テスト期間を設定する
- 事業の手順書やテスト結果を委託事業者から提出させる
- 委託先の体制や有資格者数、再委託先の作業内容を確認する
- 委託先任せにせず、決めた手順が実施されたか監督する
委託事業者側には、手順やルールを文書化し、現場担当者まで共有すること、再委託先を含む受託体制を確認すること、会社間の役割分担を見直すことが求められました。
兵庫県は報告書を受け、デジタル改革課の関与範囲を広げ、委託事業者に義務付ける提出項目を増やす方針を示しました。また、県発注業務の指名停止措置の対象に「個人情報漏えい」を加え、2026年度から適用するとしています。
ただし、1月の誤配信は県の説明上、個人情報漏えいではありません。指名停止措置の変更だけで、今回と同じ誤配信を直接防げるわけではありません。日常的なデータ抽出と大量配信の統制を、別に確認する必要があります。
第5弾の実施と残る確認事項
はばタンPay＋は、検証報告書の公表後も第5弾が実施されています。
兵庫県の2026年7月1日更新ページによると、第5弾の申込期間は3月18日から4月12日まで、チャージ期間は4月24日から6月30日までで、いずれも終了しています。利用期間は7月31日までです。
第5弾には117万9524人が申し込み、重複申込みなどを除く全員が希望口数通り当選しました。県内約1万5000店で利用できると案内されています。
この規模を見れば、配信対象の抽出や通知管理は一層重要です。
一方、一般向けの県公式ページだけでは、検証報告書を受けて第5弾の実務で何を変更したのか、細部までは確認できません。
- 会員データの結合や抽出を表計算ファイルから変更したのか
- データ型の検査を自動化したのか
- 配信件数の上限や異常値を機械的に検知するのか
- 送信前の承認記録をどのように残すのか
- 再委託先の作業を県がどこまで確認するのか
第5弾が実施されたことと、再発防止策の実効性が確認されたことは同じではありません。県には、変更した運用と確認結果を、個人情報や企業秘密に配慮しながら説明する余地があります。
「ダブルチェック」で終わらせない視点
行政の事故が起きると、再発防止策として「ダブルチェックを徹底する」という言葉がよく使われます。
しかし、今回の報告書は、その言葉だけでは不十分であることを示しています。
C社には複数人で確認する考え方がありましたが、文書化されず、実施されませんでした。A社にも確認工程はありましたが、件数の妥当性は確認対象になっていませんでした。兵庫県は、そもそも具体的な手順を把握していませんでした。
見るべきなのは、確認者の人数だけではありません。
- 手順が文書になっているか
- 確認項目が具体的か
- 想定件数との照合があるか
- 異常時に送信を止める権限があるか
- 実施記録が残るか
- 県が記録を受け取り、監督しているか
確認作業が忙しさや慣れで省略されるなら、個人の注意力に依存した仕組みのままです。誤りが起きることを前提に、複数の段階で機械的・組織的に止める設計が必要です。
今後確認すべき5項目
配信対象件数の事前照合
対象となる申込者数と抽出結果を比較し、大幅な差があれば送信できない仕組みになったのか。今回のように約8.9倍の差があれば、自動停止する設計が望まれます。
データ形式の検査
数値欄に文字列や空欄が混ざった場合、処理を続けずエラーとして扱うのか。データの型と欠損値を確認する工程が必要です。
再委託先を含む責任分担
抽出、確認、配信設定、最終承認を誰が担当するのか。再委託が重なっても、責任の所在と報告経路が曖昧になっていないかを見る必要があります。
県による確認記録
県が「チェック済み」という報告だけを受けるのか、件数、条件、作業者、確認者、時刻を含む記録まで確認するのか。監督の実態を判断する材料になります。
再発防止策の公開
第5弾で具体的に何を変更し、テストでどのような結果が出たのか。安全上公開できる範囲で説明すれば、県民が改善を検証できます。
よくある質問
19万人分の個人情報が漏えいしたのか
県は、2026年1月のメール誤配信による個人情報漏えいはなかったと発表しています。対象外の19万2812人に同じチャージ期限案内が届いた事案です。前年10月には別の個人情報漏えいがありましたが、二つは分けて理解する必要があります。
誤配信の直接原因は何だったのか
再委託事業者が対象者を抽出する際、本来数値が入る欄に文字列や空欄があり、当選金額とチャージ金額の差額判定が正しく働かなかったことです。その結果、購入済みまたは対象外の利用者まで抽出されました。
ダブルチェックは行われたのか
再委託事業者では、2人が同じ作業をして結果を照合する想定でしたが、今回は1人の結果だけが送られました。複数人で確認するルールは文書化されていませんでした。委託事業者も配信設定を確認しましたが、件数の異常を見落としました。
兵庫県は作業手順を把握していたのか
検証報告書には、県が具体的な作業手順を今回の事案で初めて報告され、そこで認識したと記されています。検証委員会は、県が委託先任せにせず、手順と実施状況を確認・監督する必要があると指摘しました。
はばタンPay＋第5弾はどうなったのか
第5弾は2026年3月から申込みが始まり、117万9524人が申し込みました。チャージ期間は6月30日に終了し、利用期間は7月31日までです。ただし、一般公開資料だけでは、検証報告を受けた実務上の変更点のすべては確認できません。
まとめ｜問われたのは委託業務全体の管理
はばタンPay＋の1月の誤配信は、本来2万4308人に送る案内を、対象外の19万2812人を含む21万7120人へ配信した事案です。
直接のきっかけは、表計算データの数値欄に文字列や空欄が混在し、対象者の抽出を誤ったことでした。
しかし、検証報告書が示した問題は、それだけではありません。
再委託事業者では照合が実施されず、委託事業者は人数の異常を見落とし、兵庫県は具体的な作業手順を事故発生まで把握していませんでした。
つまり、個人の錯誤から始まった誤りを、組織の仕組みで止められなかった事案です。
再発防止で必要なのは「今後は気を付ける」という注意喚起ではありません。データ形式の検査、想定件数との照合、明文化された手順、異常時の停止、再委託先を含む役割分担、発注者による記録確認を、実際の業務に組み込むことです。
はばタンPay＋は第5弾まで続く大規模事業です。だからこそ、利用者数や経済効果だけでなく、誰がどのデータを扱い、どの段階で安全を確認しているのかも、県民が検証できる形で示す必要があります。
映像と音声での解説はこちら
https://www.youtube.com/watch?v=cPK36fQGHe0
法的・行政的な論点をさらに深く読むならnoteで
https://note.com/poliplus
最新情報はXをフォロー
https://x.com/okane_plus
出典・確認資料
- 対象YouTube動画「【また誤送信】斎藤知事肝いりのはばタンpay＋で誤送信・対象外の19万人に振り込めメールを送ってしまう…」（2026年1月20日公開）
- 兵庫県「『はばタンPay+』に関するメール誤配信の発生」（2026年1月19日）
- 兵庫県「はばタンPay＋個人情報漏えいにかかる検証結果報告等」（2026年3月30日）
- 兵庫県「はばタンPay＋検証委員会報告書及び参考資料」（PDF）
- 兵庫県「個人情報漏えい検証報告」（PDF）
- 兵庫県「ひょうご家計応援キャンペーン プレミアム付デジタル券『はばタンPay＋』第5弾」
- 兵庫県「『はばタンPay＋』第5弾の申込結果及びチャージ（入金）手続きサポート」（2026年4月23日）
