ヤマト運輸「クロネコ代金後払い」の情報漏えい(2026年)
結論から
- ヤマト運輸は2026年9月28日、通販の代金をあとからコンビニなどで払う「クロネコ代金後払いサービス」への第三者による不正アクセスを確認し、同日夜にサービスを止めました。10月9日に再開しています。
- 10月16日の第4報で、調査の結果、利用者の情報約526万件(うちメールアドレスを含むもの約49万件)、お届け先の情報約5万件、加盟店の情報約4,100件が持ち出されたと公表しました。対象は2018年10月以降の利用です。クレジットカード情報とパスワードは含まれません。
- 侵入の経路と原因は、2026年10月30日時点で公表されていません。対象者には順次個別に連絡するとしています。宅急便など他のサービスへの影響はありません。
概要
- 公表日
- 2026年9月29日
- 検知・発覚
- 2026年9月28日
- 最新の公表
- 2026年10月16日
- 組織・業種
- ヤマト運輸「クロネコ代金後払いサービス」(物流・後払い決済 / 物流・郵便)
- 漏えいした情報・件数
- 利用者の情報 約526万件(うちメールアドレスを含むもの約49万件。2018年10月1日〜2026年9月28日の利用。氏名・住所・電話番号・メールアドレス・商品明細・申込番号や与信番号などの社内管理用情報)、お届け先の情報 約5万件(2021年2月5日〜。氏名・住所・電話番号・送り状番号)、加盟店の情報 約4,100件(加盟店名・加盟店コード)。クレジットカード情報・パスワード情報は含まれない(第4報、2026-10-16)
- 業務への影響
- 2026年9月28日22時28分から10月9日13時までサービスを停止。9月28日以降に期限を迎える払込票の支払期限を17日延長。宅急便など他のサービスは通常どおり
- 犯行グループ(企業・当局の認定)
- なし(攻撃者は公表されていない)
- 行政の対応
- 個人情報保護委員会へ報告したと公表
- 手口
- 不正アクセス(経路未公表)
この事案の続報をメールで受け取る
続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。
経緯
-
「クロネコ代金後払いサービス」への第三者による不正アクセスを確認。外部からのアクセスを制限し、22時28分にサービスを停止 [1]
-
第1報。宅急便を含む他のサービスは通常どおりと案内 [1]
-
第2報。利用者の氏名・住所・電話番号・メールアドレス・与信番号・請求金額・債権残高・商品明細、加盟店名と加盟店コード、担当社員の氏名が漏えいした可能性があると公表 [2]
-
第3報。13時にサービスを再開。9月28日以降に期限を迎える払込票の支払期限を17日延長 [3]
-
第4報(調査結果)。利用者の情報約526万件、お届け先の情報約5万件、加盟店の情報約4,100件が持ち出されたと公表。請求金額・債権残高・社員の氏名の持ち出しは確認されなかった [4]
侵入経路と原因
ヤマト運輸は、2026年9月28日に「クロネコ代金後払いサービス」が第三者による不正アクセスを受けたことを確認したとしています。
どこから、どのように入られたのかは、10月16日の第4報でも公表されていません。脆弱性が使われたのか、認証情報が使われたのかも、2026年10月30日時点では分かりません。
対象期間は2018年10月1日から2026年9月28日までで、およそ8年分の利用の記録が持ち出されました。
影響
第4報によると、持ち出されたのは次の3種類です。1つ目は、サービスを利用した一部のお客さまの情報約526万件で、氏名、住所、電話番号、メールアドレス、商品明細(商品名・数量・単価など)、申込番号・受注日・与信番号などの社内管理用の情報です。メールアドレスを含むのは約49万件です。
2つ目は、お届け先の情報約5万件(2021年2月5日以降)で、お届け先の氏名、住所、電話番号、送り状番号です。注文した人と受け取る人が違う場合の、受け取る側の情報です。3つ目は、加盟店(通販サイトなど)の情報約4,100件で、加盟店名と加盟店コードです。
クレジットカード情報とパスワード情報は含まれていません。第2報で漏えいの可能性があるとしていた「請求金額」「債権残高」「担当社員の氏名」は、調査の結果、持ち出しは確認されなかったとしています。公表しているのは件数で、人数は公表されていません。
商品明細には、何をいくつ買ったかが含まれます。氏名・住所・電話番号と購入した商品がそろっているため、通販の会社やヤマト運輸をかたる連絡に使われやすい情報です。
サービスは9月28日夜から10月9日13時まで止まりました。この間に支払期限を迎えた払込票は、期限が17日延びています。宅急便など他のサービスは通常どおりです。二次被害は、10月16日時点で確認されていません。
会社の対応と再発防止策
ヤマト運輸は、不正アクセスを確認した後、外部からのアクセスを制限してサービスを止め、個人情報保護委員会に報告しました。セキュリティ専門機関の協力を得て調べ、10月9日に「安全にご利用いただける環境が整った」としてサービスを再開しています。
持ち出しが判明した人には、順次個別に連絡するとしています。登録情報が変わっているなどで連絡が難しい人には、第4報の公表をもって通知に代えるとしています。連絡の手段と時期は、2026年10月30日時点で公表されていません。
利用者には、心当たりのない差出人や件名のメール・SMS、不審な電話や郵便物に注意するよう呼びかけています。不審なメールやSMSは、URLを開かず、添付ファイルも開かずに削除してほしいとしています。
問い合わせ先は、本件全般がメール scmail2@kuronekoyamato.co.jp です。第3報では、利用者向けに後払いカスタマーセンター(0570-666-775、平日9時〜18時)と問い合わせフォーム、加盟店向けに決済サービス カスタマーサービスセンター(0120-69-5090、平日9時〜18時、payment@kuronekoyamato.co.jp)を案内しています。
再発防止策として、すでに実施した対策に加え、外部の専門機関の助言を受けた中長期的な対策で情報セキュリティの体制を強めるとしています。原因が公表されたら、このページを更新します。
この事案から学べること
- 持ち出されたのは約8年分の利用の記録でした。支払いが終わった古い取引の個人情報をいつまで、どこに置くかで、漏えいしたときの規模が変わります。
- 第2報の「可能性がある項目」と第4報の「持ち出された項目」は違いました(請求金額・債権残高・社員の氏名は持ち出しなし)。初報では広めに知らせ、調査で絞り込む順番は、利用者に注意を促すうえで役に立ちます。
- 後払いサービスは、通販サイト(加盟店)が決済会社に購入者の情報を渡す仕組みです。購入者から見ると、利用した通販サイトとは別の会社から漏れたことになります。自社のサイトで使っている決済・後払いの会社で事故が起きたとき、自社の顧客にどう案内するかを決めておく必要があります。
- 2026年9月末からは、佐川急便など物流会社のWebサービスへの不正アクセスの公表も続きました。ただし、共通の原因や同じ攻撃者によるものだという公式の発表はありません。
自社で確認すること
- 1 支払いや配送が終わった取引の個人情報を、何年分、どのシステムに残していますか?
- 2 自社の通販サイトで使っている決済・後払いの会社で漏えいが起きたとき、自社の顧客への案内の文面と窓口を決めていますか?
- 3 初報で「漏えいの可能性がある項目」を、広めに、具体的に挙げられる準備がありますか?
関連する事案
よくあるご質問
- クロネコ代金後払いで、何が漏れましたか?
- ヤマト運輸は2026年10月16日の第4報で、利用者の情報約526万件(氏名、住所、電話番号、メールアドレス、商品明細、申込番号や与信番号などの社内管理用情報)、お届け先の情報約5万件(氏名、住所、電話番号、送り状番号)、加盟店の情報約4,100件(加盟店名、加盟店コード)が持ち出されたとしています。
- クレジットカード番号やパスワードは漏れましたか?
- 含まれていないとしています。また、第2報で漏えいの可能性があるとしていた請求金額、債権残高、担当社員の氏名は、調査の結果、持ち出しは確認されなかったとしています(2026年10月16日の第4報)。
- 自分が対象かどうかは、どうすれば分かりますか?
- 対象は、2018年10月1日から2026年9月28日までにクロネコ代金後払いサービスを利用した一部の人です。ヤマト運輸は、持ち出しが判明した人に順次個別に連絡するとしています。連絡が難しい人には、第4報の公表をもって通知に代えるとしています。確かめたい場合は、問い合わせ先(scmail2@kuronekoyamato.co.jp)に問い合わせてください。
- 宅急便の利用者も対象ですか?
- 対象はクロネコ代金後払いサービスの情報です。ヤマト運輸は、宅急便を含む他のサービスは通常どおり利用できるとしています。ただし、代金後払いを使った注文のお届け先として登録された人の情報(約5万件)は含まれます。
- 利用者は何をすればよいですか?
- ヤマト運輸は、心当たりのないメール・SMS・電話・郵便物に注意するよう呼びかけています。不審なメールやSMSは、URLや添付ファイルを開かずに削除してください。氏名・住所・購入した商品が漏れているため、通販の会社や配送業者をかたる連絡にも注意してください。
- サービスは使えますか? 支払期限はどうなりますか?
- 2026年10月9日13時に再開しています。サービスが止まっていた期間を考えて、9月28日以降に支払期限を迎える払込票は、記載の期限から17日延長されています(例: 10月1日が期限なら10月18日)。
- 原因は何ですか?
- 第三者による不正アクセスです。侵入の経路と詳しい原因は、2026年10月16日の第4報でも公表されていません。
出典
- 「クロネコ代金後払いサービス」への不正アクセスの発生について ↗ (ヤマトホールディングス、2026-09-29)
- 【第2報】「クロネコ代金後払いサービス」への不正アクセスの発生について ↗ (ヤマトホールディングス、2026-10-02)
- 【第3報】「クロネコ代金後払いサービス」再開のお知らせ ↗ (ヤマトホールディングス、2026-10-09)
- 【第4報】「クロネコ代金後払いサービス」への不正アクセスに関する調査結果と今後の対応について ↗ (ヤマトホールディングス、2026-10-16)
- 「クロネコ代金後払いサービス」に不正アクセス ↗ (ScanNetSecurity、2026-10-01)