📡 Signal｜佐川急便の不正アクセス、流出のおそれ最大約5,323万件

佐川急便は10月23日、Web サイトの「お荷物問い合わせサービス」への不正アクセスについて第 5 報を出し、流出したおそれのある個人情報が最大で約 5,323 万件にのぼると公表した。同じ日に、9月30日から止めていた荷物の問い合わせサービスを再開した。

対象の中心は、荷物の送り状に書かれた依頼主と届け先の氏名・住所・電話番号だ。佐川急便と直接の契約がなくても、6月21日から9月30日までに佐川急便で荷物を受け取った人は含まれうる。国内の宅配の送り状が、個人情報の大きな集積になっていることを示した。

5,323 万件の中身

第 5 報が示した対象は 3 つの区分に分かれる。

送り状データ: 2026年6月21日から9月30日までの約 100 日間に預かった荷物の、依頼主と届け先の氏名・住所・電話番号。この期間はシステムの送り状データの保管期間にあたる
運賃契約を結ぶ顧客の契約者情報: 氏名・住所・電話番号
Web サービス「スマートクラブ」の会員情報: 氏名・住所・電話番号・メールアドレス・会員 ID

5,323 万件は、同じ人の情報の重複を「一定程度」整理したうえでの最大件数で、重複を含む。会社は、特に送り状データに相当数の重複が残っており、実際の人数を示すものではないと説明している。区分ごとの件数は、同じ理由で公表していない。クレジットカード情報とパスワードは含まれず、手書きの送り状で預かった荷物も対象外だ。悪用などの二次被害は、現時点で確認されていないという。

9月30日からの経緯

佐川急便は9月30日の第 1 報で不正アクセスの確認を公表し、10月1日の第 2 報で個人情報が外に出たおそれを明らかにした。第 2 報の時点で対象の 3 区分はすでに挙がっていたが、件数は調査中とされた。10月9日の第 4 報は、確認の済まない段階の件数を出せば実際と違う情報が伝わるおそれがあるとして、公表を見送っていた。件数が出たのは、最初の公表から 3 週間あとになる。

不正アクセスの原因は、まだ明らかにしていない。よくある質問のページでは、第三者の専門機関の協力のもとで調査を続けているとしている。荷物の問い合わせは再開したが、問い合わせの API、飛脚宅配便の Web 受付、受取先の変更など 8 つの Web サービスは止まったままだ。

責任の線は、荷物を出した事業者にも及ぶ

個人情報保護委員会への報告の扱いが、この事案の構造を映している。佐川急便は10月1日に委員会へ速報を出した。最終の報告 (確報) は、佐川急便と出荷人 (配送を委託している通販事業者などの顧客) の連名で出す方向で準備している。連名に同意しない出荷人は、自ら速報と確報を出す必要がある場合があると案内した。

送り状の情報は、もともと荷物を出した事業者が持つ顧客の個人情報で、佐川急便は配送のために預かっている立場だ。1 社の Web サービスへの侵入が、委託した多くの事業者の報告義務に広がる。通販で買い物をした人の情報は、店のシステムだけでなく、配送を担う会社の問い合わせシステムにも同じ期間、置かれていたことになる。

次に見るもの

確認先は、佐川急便の「重要なお知らせ」の欄に出る第 6 報以降と、個人情報保護委員会への確報だ。重複の整理が進んで実際の人数が出るか、不正アクセスの原因と侵入の経路が示されるか、止まっている 8 つの Web サービスがいつ戻るかを見る。会社は、佐川急便を名乗る不審なメールや SMS、電話に注意するよう呼びかけている。荷物の受け取りを装った連絡には、記載の URL を開かないのが現実的な備えになる。

ことば

名寄せ — 複数の記録に分かれた同じ人の情報を、1 人分にまとめる作業。送り状は同じ人が何度も届け先になるため、重複を整理しないと件数が実人数より大きく出る。
確報 — 個人情報の漏えいなどが起きた事業者が、個人情報保護委員会に出す最終の報告。発覚から短い期間で出す速報のあと、調査の結果を踏まえて出す。
出荷人 — 運送会社に荷物の配送を委託する事業者。通販の店などがこれにあたり、送り状の個人情報のもともとの持ち主にあたる。

🔗 一次ソース

5,323 万件の中身

9月30日からの経緯

責任の線は、荷物を出した事業者にも及ぶ

次に見るもの

ことば

関連記事