佐川急便に不正アクセス、個人情報が最大約5,323万件流出した可能性 問い合わせは再開

佐川急便は2026年10月23日、Webサイトの「お荷物問い合わせサービス」への不正アクセスについて、第5報を出した。流出した可能性のある個人情報は「現時点で最大約5,323万件（重複を含む件数）」だという。止めていたこのサービスは、同じ日に再開した。今のところ、個人情報の不正利用などの二次被害は確認されていないとしている。

何が起きたのか

不正アクセスは、他人のシステムに許可なく入り込むことだ。佐川急便が気づいたのは、2026年9月30日(水)午前7時30分。狙われたのは、荷物の配送状況を調べる「お荷物問い合わせサービス」の仕組み(インターネット貨物システム)だ。

会社は同じ日にこのサービスへのアクセスを一部制限し、10月1日正午には、このシステムへの外部からのアクセスを遮断した。不正アクセスがいつ始まったのかと原因は、第三者専門機関(社外の調査の専門家)の協力を得て調べている。

10月9日の第4報では、ほかのシステムやグループ会社のシステムへの影響は確認されていないとした。2026年7月に公表したスマートクラブの個人情報漏えい(設定の誤りが原因)とは、別の事案だという。

流出した可能性のある情報

対象は次の3種類だ。

送り状は、荷物に貼る伝票のことだ。約100日分なのは、このシステムが送り状データを保管する期間に合わせたため。通販で商品を受け取っただけの人も、お届け先として対象となる可能性があると会社は説明している。手書きの送り状で預けた荷物の情報は含まれない。

クレジットカード情報、パスワード、銀行口座情報は含まれない。荷物の中身(品名)や配送履歴が含まれるかは、確認を進めている。

「最大約5,323万件」は人数ではない

同じ人の情報が何度も入っているものを一つにまとめる作業を「名寄せ」という。5,323万件は、名寄せを一定程度したうえでの現時点の最大の件数で、送り状データには相当数の重複がまだ残っている。

会社は、この数は対象となる人の実人数を示すものではなく、すべてが実際に外へ流出したと確かめた件数でもないと説明している。3種類それぞれの件数は、実人数を適切に示すことが難しいとして公表していない。

止めたサービスと再開したサービス

10月1日の第2報の時点で、9つのWebサービスを止めていた。「お荷物問い合わせサービス」は、セキュリティ対策と安全性の確認を終えて、10月23日(金)に再開した。次の8つは止めたままで、再開の時期は決まっていない。

• インターネット貨物のお荷物問い合わせAPI(法人のシステムから荷物の状況を問い合わせるための窓口)
• 飛脚宅配便受付、飛脚往復便受付、飛脚往復便(ゴルフ)受付、商品回収返金サービス、回収くん
• 受取先変更(配達予定からの事前受取先変更、不在発生後の受取先変更)

荷物の集荷と配達は通常どおりだ。Webの受け付けを止めている集荷も、最寄りの営業所に電話すれば頼める。

利用者に呼びかけていること

会社は、佐川急便を装った不審なメール、SMS(携帯電話の番号あてに届く短いメッセージ)、電話に十分注意するよう呼びかけている。第4報では「本事案に便乗し、当社を装った不審なメールやSMS、電話などによる連絡が行われる可能性があります」とした。公式の案内が求めていることは次のとおり。

1. メールやSMSに書かれたURLにアクセスしない。添付ファイルを開かない。個人情報を入力・提供しない
2. 佐川急便は、荷物の集配についてSMSで案内していない
3. 佐川急便のLINE公式アカウントには認証バッジがある。LINEで個人情報や口座情報の入力を求めることはない
4. スマートクラブのパスワードは対象外だが、ほかのサービスと同じIDとパスワードにしている人には、変更を勧めている
5. 不審な連絡や請求、身に覚えのない荷物の送付などには、慎重に対応する

問い合わせ先と国への報告

本件の窓口は、専用のお問い合わせチャットと、専用コールセンター(0120-28-3449、午前9時から午後5時、土日・祝日を含む)だ。荷物の集荷や配達の状況は、最寄りの営業所が受け付ける。対象となる可能性のある人には順に案内し、個別の案内が難しい人には、公表をもって通知に代えるとしている。

個人情報保護委員会(個人情報の扱いを監督する国の機関)には10月1日に速報を出し、警察にも相談している。今後の確報は、佐川急便に配送を任せている出荷人と連名で出す方向で準備している。

まとめ

佐川急便は、「お荷物問い合わせサービス」への不正アクセスで、最大約5,323万件(重複を含む)の個人情報が流出した可能性があると発表した。6月21日から9月30日に預かった荷物の、送った人と受け取った人の氏名・住所・電話番号などが対象だ。原因は調査中で、二次被害は確認されていない。佐川急便を名乗るメールやSMSのURLは開かないようにしたい。