Signal
📡 Signal｜ヤマト運輸の後払いサービス、約531万件の情報が流出
ヤマト運輸の「クロネコ代金後払いサービス」で約531万件の情報が持ち出された。商品明細まで含み、ほぼ8年分。カード情報とパスワードは含まない。
ヤマト運輸は10月16日、通販の代金を商品の受け取り後に払う「クロネコ代金後払いサービス」への不正アクセスについて第4報を出し、利用者などの情報約531万件が外部に持ち出されたと発表した。内訳は、サービスを使った利用者の情報が約526万件、お届け先が約5万件、加盟店が約4,100件だ。
「クロネコ代金後払いサービス」への不正アクセスに関する第4報 (ヤマト運輸・2026年10月16日／持ち出し約526万件・約5万件・約4,100件の内訳と期間、カード情報とパスワードは含まず、二次被害は未確認を確認)ヤマトホールディングス株式会社
9月28日の発覚から3週間弱で、「漏えいの可能性」が件数と期間の確定に変わった。氏名や住所に加えて買った商品の明細まで含まれるため、狙われやすいのは「最近こういう物を買いましたね」と本物らしく装う連絡だ。
持ち出された中身と期間
第4報の調査結果では、持ち出しが確認された情報は次の 3 つに分かれる。
- サービスの利用者: 2018年10月1日〜2026年9月28日の分で約526万件 (うちメールアドレスを含むものは約49万件)。氏名・住所・電話番号・メールアドレス・商品明細 (商品名・数量・単価など)・申込番号や受注日などの社内管理用の情報
- お届け先: 2021年2月5日〜2026年9月28日の分で約5万件。お届け先の氏名・住所・電話番号・送り状番号
- 加盟店: 2018年10月1日〜2026年9月28日の分で約4,100件。加盟店名と加盟店コード
クレジットカード情報とパスワードは含まれない。10月2日の第2報で漏えいの可能性があるとしていた請求金額・債権残高・社員の氏名は、調査の結果、持ち出しは確認されなかった。対象期間は発覚の日までのほぼ 8 年分にわたる。
侵入の経路や原因について、第4報は触れていない。初動として外部からのアクセスを制限し、個人情報保護委員会へ報告した。サービスは10月9日に再開している。
商品明細が付いた個人情報の重さ
二次被害は現時点で確認されていないと同社は説明する。一方で、心当たりのない差出人や件名のメール・SMS、不審な電話についての問い合わせが寄せられているという。
後払いの利用者情報には、名前と住所だけでなく、何をいくつ、いくらで買ったかが結び付いている。この組み合わせは、未払いの督促や配送の不在通知を装う詐欺の材料として使いやすい。払込票が届く後払いの仕組みそのものが「支払いのお願い」を受け取り慣れた状態を作っているため、偽の請求との見分けが難しくなる。同社は、メール・SMS の URL や添付ファイルを開かず削除するよう呼びかけている。
持ち出しが判明した利用者には、順次個別に連絡する。登録情報が変わって連絡がつかない人については、第4報の公表をもって通知に代えるとしている。
国内で続く大量流出の中で
10月の国内では、件数の大きい流出の公表が続いている。15日にはソースネクストが会員情報を返す API の悪用で最大約2,251万件の流出の可能性を公表し (Signal)、バーガーキングも公式アプリ会員約1,118万件の漏えいを明らかにした (Signal)。
ヤマトの件は、その中でも性格が違う。会員の登録情報ではなく、通販の決済を肩代わりする事業者の側に、多くの通販サイトの購入記録が集まっていた。利用者から見れば、買い物をしたのは通販サイトで、ヤマトのサービスは支払い方法の一つにすぎない。決済や配送を一手に引き受ける事業者は、1 か所の侵入で多数の店の顧客情報がまとめて出ていく位置にある。
次に見るもの
確認できる次の一点は、ヤマトホールディングスの「重要なお知らせ」に載る次の報だ。第4報が書いていない侵入の経路と原因、外部の専門機関の助言による中長期の対策が具体的に示されるかを見る。
利用者の側では、これから届く個別の連絡が本物かどうかを、メールの URL ではなく同社サイトの告知と照らして確かめることになる。
ことば
- 後払い決済 — 通販で商品を受け取った後に、コンビニや銀行で代金を払う仕組み。決済事業者が店に代金を立て替え、利用者の与信と請求を引き受けるため、多くの店の購入記録が一つの事業者に集まる。
- 加盟店 — 決済サービスと契約して、その支払い方法を自分の店で使えるようにした事業者。今回は通販サイトなどの店名と、ヤマトが管理用に付けた加盟店コードが持ち出された。
🔗 一次ソース