ビジネス＋ITの報道（Yahoo!ニュース掲載）によると、佐川急便は2026年10月23日、「お荷物問い合わせサービス」への第三者による不正アクセスにより、個人情報が最大約5,323万件流出した可能性があると公表しました。流出対象には約100日分の送り状データや会員情報が含まれますが、クレジットカード情報やパスワードは含まれていません。荷物の発送や受け取りに同社を利用した個人や契約法人は、詐欺メールなどの二次被害に警戒を払う必要があります。
ビジネス＋IT（Yahoo!ニュース）：佐川急便、不正アクセスで個人情報の流出可能性は最大約5,323万件 問い合わせは再開
自社のWebサービスや問い合わせ窓口が外部からの不正アクセスを受けないか不安な場合は、脆弱性の洗い出しをおすすめします。
この記事のポイント
影響を受けた可能性がある人・情報
- （個人・企業）2026年6月21日から9月30日までの約100日間に預託された荷物の送り状データ（依頼主およびお届け先の氏名、住所、電話番号）
- （個人）Webサービス「スマートクラブ」の会員情報（氏名、住所、電話番号、メールアドレス、会員ID）
- （企業）佐川急便と運賃契約を結んでいる顧客の契約者情報（顧客リストのうち、担当者名など特定の個人を識別できる情報）
今すぐ取るべき対応
- （個人・企業）佐川急便を装った不審なSMSやメール、電話に注意し、記載されたリンク先にアクセスしたり個人情報を入力したりしない
- （企業）自社で公開している問い合わせサービスやインターネット貨物システムと同様のWeb窓口について、第三者機関による点検や外部アクセスの監視体制を再確認する
この記事に出てくる専門用語
- お荷物問い合わせサービス：佐川急便のWebサイト上で荷物の配送状況を確認できる窓口です。今回第三者による不正アクセスの対象となりました。
- スマートクラブ：佐川急便が提供する会員制Webサービスです。今回の不正アクセスにより、会員のメールアドレスや会員IDなどが流出した可能性があります。
- 個人情報保護委員会：個人情報の適正な取り扱いを監督する国の行政機関です。今回の事案では佐川急便が法令に基づき10月1日に速報を提出しました。
お荷物問い合わせサービスへの不正アクセスで流出した可能性がある情報
ビジネス＋ITの報道（Yahoo!ニュース掲載）によると、佐川急便は同社のWebサイトにある「お荷物問い合わせサービス」が第三者による不正アクセスを受け、流出した可能性のある個人情報が最大で約5,323万件に達したと第5報で発表しました。この件数は重複を一定程度整理したうえで算出した現時点の最大値であり、外部流出が確定した件数や実人数を示す数値ではありません。
流出の恐れがあるデータは主に3種類に分かれます。2026年6月21日から9月30日までの約100日間に取り扱われた送り状データ、運賃契約を結ぶ顧客リスト、そして会員制Webサービス「スマートクラブ」の登録データです。送り状や契約者情報には依頼主とお届け先の氏名、住所、電話番号が含まれ、スマートクラブ会員情報にはメールアドレスと会員IDも含まれています。
一方で、クレジットカード情報やログイン用パスワードは流出対象に含まれていません。手書きの送り状で預かった荷物のデータや、法人名のみで個人名を含まない記録も今回の対象外です。私たちホワイトハッカーの視点では、決済情報が漏れていなくても、氏名・住所・電話番号が揃ったデータは標的型フィッシング詐欺に悪用される危険が極めて高いと評価します。
佐川急便がアクセス遮断からサービス再開までに実施した対応
佐川急便は不正アクセスを確認した直後、被害の拡大を防ぐためにインターネット貨物システムへの外部アクセスを遮断しました。この遮断措置に伴い、お荷物問い合わせサービスをはじめとする一部のWebサービスが一時的に停止されました。
サービスの停止中、同社は第三者専門機関の協力を得てシステムの点検とセキュリティ対策を進めました。安全性の確認が完了した判断に基づき、2026年10月23日にお荷物問い合わせサービスを再開しています。また、法令に基づき10月1日には個人情報保護委員会へ速報を行いました。
外部からの不審な通信を検知した際にシステムを即座に遮断し、専門機関によるフォレンジック調査を実施することは、被害範囲を確定させるための標準的な事故対応手順です。佐川急便は現在も二次被害は確認されていないと発表していますが、攻撃者が侵入した具体的な脆弱性や侵入手口の詳細はまだ公表していません。
配送サービスの利用者が直ちに警戒すべき詐欺手口
佐川急便は、同社を装った不審なメールやSMS、電話への警戒を強く呼びかけています。宅配便の不在通知や配達状況の確認を偽装して偽サイトへ誘導する手口は以前から多く見られますが、氏名や電話番号が悪用された場合、個人の配送状況と見分けがつかない文面で届くリスクが高まります。
私たち診断側の視点から注意を促したいのは、SMSやメールに記載されたリンクを不用意に開かない習慣の徹底です。配達状況の確認や会員情報の確認を行う際は、メッセージのリンクを踏まず、あらかじめブックマークした公式アプリや正規のWebサイトから直接アクセスして手続きを進めます。
万一不審な通知を受け取った場合は、個人情報や認証情報を入力せず、公式サポート窓口の案内と照らし合わせて真偽を判断してください。
参考文献・記事一覧
公開中のWebシステムに潜む侵入経路を把握したい企業様向けに、CyberCrewがペネトレーションテストで安全性を検証します。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
