佐川急便「お荷物問い合わせサービス」への不正アクセス(2026年9月公表)
結論から
- 2026年9月30日午前7時30分、佐川急便のWebサイトの「お荷物問い合わせサービス」で、第三者による不正アクセスが発覚しました。会社は10月1日正午に、外部からのアクセスを遮断しています。
- 流出した可能性があるのは、2026年6月21日から9月30日までの約100日分の荷物の送り主・届け先の氏名、住所、電話番号などです。10月23日の第5報で、件数は現時点で最大約5,323万件と公表しました。重複を一定程度整理した後の数ですが、なお相当数の重複を含み、実際の人数ではありません。
- 10月23日に「お荷物問い合わせサービス」を再開しました。集荷受付や受取先変更など8つのWebサービスは停止が続いています。集荷と配達は通常どおりです。原因は第三者専門機関と調査中で、2026年10月30日時点で公表されていません。
概要
- 公表日
- 2026年9月30日
- 検知・発覚
- 2026年9月30日
- 最新の公表
- 2026年10月23日
- 組織・業種
- 佐川急便(荷物問い合わせサービスなど)(物流 / 物流・郵便)
- 漏えいした情報・件数
- 現時点で最大約5,323万件(重複を含む件数。第5報、2026-10-23)。重複を一定程度整理した後の最大件数で、送り状データには相当数の重複が残り、実人数ではない。区分別の件数は非公表。対象: 2026-06-21〜09-30(約100日間)に預かった荷物の送り主・届け先(氏名または法人名・担当者名、住所、電話番号)、運賃契約の顧客(氏名、住所、電話番号)、「スマートクラブ」登録者(加えてメールアドレス・会員ID)。手書きの送り状の荷物は対象外。クレジットカード情報・パスワード・銀行口座情報は含まれない
- 業務への影響
- 2026-10-01正午にインターネット貨物システムへの外部からのアクセスを遮断し、9つのWebサービスを停止。2026-10-23に「お荷物問い合わせサービス」を再開。お荷物問い合わせAPI、飛脚宅配便受付、受取先変更など8つは停止を継続(再開時期は未定)。集荷・配達は通常どおり。他のシステム・グループ会社のシステムへの影響は確認されていない(第4報、2026-10-09)
- 犯行グループ(企業・当局の認定)
- なし(攻撃者は公表されていない)
- 行政の対応
- 2026-10-01に個人情報保護委員会へ報告(速報)し、警察に相談していると公表(FAQ)。確報は会社が取りまとめ、荷物を委託した出荷人と連名で出す方向で準備中(FAQ 2026-10-08追記、第5報)
この事案の続報をメールで受け取る
続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。
経緯
-
午前7時30分、「お荷物問い合わせサービス」(インターネット貨物システム)への第三者による不正アクセスが発覚(時刻は第4報で公表) [7]
-
「お荷物問い合わせサービス」への第三者による不正アクセスを確認。アクセスを一部制限し、第1報を公表 [1]
-
第2報。個人情報が流出した可能性を公表し、9つのWebサービスの停止を案内。件数と範囲は調査中 [2]
-
第3報。専用の問い合わせ窓口(コールセンター)を開設 [3]
-
正午、インターネット貨物システムへの外部からのアクセスを遮断(第4報で公表) [7]
-
FAQを公表。個人情報保護委員会への報告、警察への相談、第三者機関による調査を説明 [4]
-
FAQに個人情報保護委員会への報告の進め方を追加。10月1日に速報を出したこと、確報は出荷人との連名で出す方向で準備していることを説明 [4]
-
第4報。他のシステムとグループ会社のシステムへの影響は確認されていないと公表。件数は重複の整理などを第三者専門機関と進めており、確認前は公表しないと説明 [7]
-
FAQに、配送状況の確認方法(LINEでステータスのみ確認でき、詳細は最寄りの営業所)を追加 [4]
-
第5報。必要なセキュリティ対策と安全性の確認を経て「お荷物問い合わせサービス」を再開。流出した可能性のある個人情報は、重複を一定程度整理したうえで最大約5,323万件(重複を含む)と公表。対象期間は6月21日〜9月30日、手書きの送り状は対象外 [8]
-
FAQを更新。件数、停止中のサービス、確報の連名の進め方の回答を改め、対象期間中の自社の出荷履歴を確かめる方法を追加 [4]
侵入経路と原因
佐川急便は2026年9月30日、Webサイトの「お荷物問い合わせサービス」で第三者による不正アクセスを確認しました。10月9日の第4報によると、発覚は同日午前7時30分です。会社は確認後、同サービスへのアクセスを一部制限しました。
第4報では、対象のシステムを「インターネット貨物システム」と記しています。不正アクセスがいつ始まったのかは、第三者専門機関の協力を得て調べているとしています。他のシステムやグループ会社のシステムへの影響は、確認されていません。
不正アクセスの原因と手口は、2026年10月30日時点で公表されていません。会社はFAQで、第三者機関の協力のもと、原因の調査と事実関係の確認を進めているとしています。脆弱性が使われたのかどうかも、公表されていません。
会社はFAQで、2026年7月に公表したスマートクラブの個人情報漏えいとは別の事案だと説明しています。7月の事象はシステム不具合の復旧作業での設定の誤りによるもので、今回は第三者による不正アクセスを確認した事案だとしています。
影響
流出した可能性がある情報は、3つの区分に分かれます。1つ目は、預かった荷物の送り主と届け先です。2026年6月21日から9月30日までの約100日間に預かった荷物が対象で、このシステムの送り状データの保管期間にあたります。氏名(法人は法人名と担当者名)、住所、電話番号が含まれます。手書きの送り状で預かった荷物は対象外です。
2つ目は、運賃契約を結んでいる法人・個人の顧客で、氏名、住所、電話番号が対象です。3つ目は、Webサービス「スマートクラブ」の登録者で、これらに加えてメールアドレスと会員IDが対象です。荷物を受け取っただけの人も、届け先として対象になる可能性があります。
クレジットカード情報、パスワード、銀行口座情報は含まれていないとしています。荷物の品名や配送履歴が含まれるかは、確認を進めているとしています(10月23日のFAQ)。流出した可能性のある情報の不正利用などの二次被害は、第5報の時点でも確認されていないとしています。
第4報で会社は、件数を示していない理由を説明しました。累計のデータには同じ顧客の情報が何度も入っていることがあり、送り状の氏名や住所の書き方も違うことがあります。そのため、同じ顧客の整理や、個人と事業者の区分、送り主ごとの整理をしています。確認が済む前の件数を出すと実際と違う情報が伝わるおそれがあるとして、第三者専門機関と確認を進めていました。
10月23日の第5報で、会社は件数を公表しました。重複を一定程度整理したうえでの現時点の最大件数は、約5,323万件(重複を含む件数)です。特に送り状データには相当数の重複が残っており、実際の人数ではありません。すべてが実際に外部へ流出したと確認した件数でもないとしています。法人の情報でも担当者名など個人を識別できるものは数に含め、法人名だけの記録は含めていません。区分ごとの件数は、実人数を適切に示せないとして公表していません。会社は重複の整理を続け、対象者の人数をより正確につかむとしています。
業務の面では、被害の拡大を防ぐため、Webサービスを止めました。停止したのは、インターネット貨物お荷物問い合わせとそのAPI、飛脚宅配便受付、飛脚往復便受付、飛脚往復便(ゴルフ)受付、商品回収返金サービス、2種類の受取先変更、回収くんの9つです。10月23日にインターネット貨物のお荷物問い合わせを再開しました。残る8つの再開時期は未定です。集荷と配達は通常どおりで、電話での集荷依頼は受け付けています。
会社の対応と再発防止策
会社は不正アクセスを確認した2026年9月30日のうちに、サービスへのアクセスを一部制限し、第1報を出しました。翌10月1日の第2報で、個人情報が流出した可能性と、Webサービスの停止を知らせています。
同じ10月1日の第3報で、本件専用のコールセンターを開設しました。10月5日にはFAQを公開し、対象となる人や情報、停止中のサービスへの質問に答えています。法人向けのAPI連携の利用者への個別の案内は、確認を進めているとしています。
第4報によると、会社は10月1日正午にインターネット貨物システムへの外部からのアクセスを遮断しました。第三者専門機関の協力を得て、関係するシステムを中心に監視と検知の体制を強めています。調査結果を踏まえ、システム構成、アクセス制御、脆弱性管理、権限管理、監視体制を点検し、見直すとしています。
個人情報保護委員会へは10月1日に法令に基づく報告(速報)を出し、警察にも相談しているとしています。10月8日にFAQへ追加した説明では、続く報告(確報)は会社が取りまとめ、配送を委託した出荷人(荷物を送る企業など)との連名で出す方向で準備しているとしました。連名に同意しない出荷人は、自ら速報・確報を出す必要があります。手続きの詳細は、流出の件数が確定ししだい対象の出荷人に案内するとしています。再発防止策は、第三者機関と進める原因の調査の結果を踏まえて策定し、判明しだい知らせるとしています。
10月23日の第5報で、会社は第三者専門機関の協力のもと、システムの点検と必要なセキュリティ対策、安全性の確認を終えたとして「お荷物問い合わせサービス」を再開しました。再開後も監視を続けるとしています。対象になる可能性のある人には、確認と整理を進めながら順次案内し、個別の案内が難しい人には第5報の公表をもって通知に代えるとしています。確報の連名報告の手続きは、件数など必要な事項を確認でき次第、対象の出荷人に案内するとしています。原因と再発防止策は、2026年10月30日時点で公表されていません。
利用者には、佐川急便を装った不審なメール、SMS、電話に注意するよう呼びかけています。記載されたURLを開いたり、個人情報を入力したりしないよう求めています。スマートクラブのパスワードは対象外ですが、他のサービスと同じものを使っている場合は変更を勧めています。
この事案から学べること
- 対象は自社の会員だけでなく、荷物の送り主と届け先にも及びました。取引で預かるだけの情報も、漏えいの対象になります。
- 件数が分からない段階でも、確認した当日に第1報を出し、翌日に対象の情報と停止したサービスを示しました。分かった順に知らせる進め方の例です。
- 被害の拡大を防ぐため、外部の利用企業が使うAPIを含む9つのWebサービスを止めました。止めたときに取引先へどう影響するかも、事前に考えておく対象です。
自社で確認すること
- 1 自社のWebサービスで、会員以外の人(送り先・届け先など)の情報をどこに、どの期間持っているか把握していますか?
- 2 Webサービスを緊急に止めるとき、APIでつながる取引先への連絡手順を決めていますか?
- 3 件数が確定する前でも、事実と分かっていないことを分けて第1報を出せる体制がありますか?
同じ手口の事案
Webサービス・アプリ経由
- ギフティ (2026年10月26日) システムの脆弱性を悪用され、eギフトが不正に発行された。損失は約5.5億円の見込み
- グッドスマイルカンパニー (2026年10月23日) 公式通販サイトの決済ページに不正なプログラム。カード情報(全桁・セキュリティコード)2,800名分が漏えいした可能性
- NP後払い (2026年10月22日) 後払い決済の請求書再発行システムに機械的な連続リクエスト。2万8,884件の氏名・住所にアクセス
関連する事案
よくあるご質問
- 佐川急便で荷物を受け取っただけでも、情報流出の対象になりますか?
- 会社のFAQでは、2026年6月21日から9月30日までの約100日間に預かった荷物の届け先として、氏名・住所・電話番号が対象になる可能性があるとしています。スマートクラブへの登録の有無は関係ありません。手書きの送り状で預かった荷物は対象外です。
- 荷物の配達や集荷は止まっていますか?
- 集荷と配達は通常どおり行われています。Web上の「お荷物問い合わせサービス」は2026年10月23日に再開し、配送状況を確認できます。集荷受付や受取先変更、法人向けのお荷物問い合わせAPIなど8つのWebサービスは止まったままです。集荷は電話で依頼できます(2026年10月23日のFAQ)。
- 流出した可能性のある件数は何件ですか?
- 会社は2026年10月23日の第5報で、現時点で最大約5,323万件(重複を含む件数)と公表しました。重複を一定程度整理した後の数ですが、送り状データには相当数の重複が残っており、実際の人数ではありません。区分ごとの件数は公表していません。会社は重複の整理を続け、人数をより正確につかむとしています。
- 佐川急便に配送を委託している企業は、個人情報保護委員会に自社で報告する必要がありますか?
- 会社は2026年10月8日にFAQで、10月1日に速報を出したうえで、確報は出荷人との連名で出す方向で準備していると説明しました。連名に同意しない場合は、出荷人自身で速報・確報を出す必要があるとしています。すでに自社で報告した出荷人も連名に切り替えられます。手続きの詳細は、報告対象の件数など必要な事項を確認でき次第、対象の出荷人に案内するとしています(10月23日の第5報・FAQ)。
出典
- 「お荷物問い合わせサービス」への不正アクセスの発生について(第1報) ↗ (佐川急便株式会社、2026-09-30)
- 「お荷物問い合わせサービス」への不正アクセスによる個人情報流出の可能性について(第2報) ↗ (佐川急便株式会社、2026-10-01)
- 「お荷物問い合わせサービス」への不正アクセスによる個人情報流出の可能性について(第3報) ↗ (佐川急便株式会社、2026-10-01)
- よくあるご質問(FAQ)｜「お荷物問い合わせサービス」への不正アクセスについて(2026-10-05公開、10-08・10-09・10-23に更新) ↗ (佐川急便株式会社、2026-10-23)
- 佐川急便「お荷物問い合わせサービス」不正アクセスにより情報流出の可能性、ウェブの荷物問い合わせなどを停止中 ↗ (INTERNET Watch、2026-10-02)
- 荷物問合サービスが侵害、個人情報流出の可能性 - 佐川急便 ↗ (Security NEXT、2026-10-02)
- 「お荷物問い合わせサービス」への不正アクセスによる個人情報流出の可能性について(第4報) ↗ (佐川急便株式会社、2026-10-09)
- 「お荷物問い合わせサービス」の再開および個人情報の流出に関する調査状況について(第5報) ↗ (佐川急便株式会社、2026-10-23)