佐川急便のお荷物問い合わせサービスへの不正アクセス
- カテゴリ
- 不正アクセス
佐川急便のWebサイトの「お荷物問い合わせサービス」への第三者による不正アクセスで、送り状データなどの個人情報が最大約5,323万件（重複を含む件数）流出した可能性がある［2、5］。佐川急便は2026年10月23日の第5報でこの件数を示し、同じ日にお荷物問い合わせサービスを再開したが、ほかのWebサービス8件は停止を続けている［5］。
経緯
佐川急便は第4報で、不正アクセスの対象を「お荷物問い合わせサービス（インターネット貨物システム）」と書いた［4］。外部からのアクセスを遮断した対象も、このインターネット貨物システムである［4］。佐川急便はよくある質問のページで、今回の不正アクセスは7月に公表された「スマートクラブ」の個人情報漏えいとは「別の事案」だと説明した［6］。7月の漏えいはシステム不具合の復旧作業時の設定誤りによるもので、第三者による不正アクセスではなかった［6］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | 佐川急便 | お荷物問い合わせサービスへの不正アクセスが発覚した | ［4］ |
| 2026年 | 佐川急便 | 第1報を出し、同サービスへのアクセスを一部制限していると告知した | ［1］ |
| 2026年 | 佐川急便 | 第2報で個人情報が外部に流出した可能性を公表し、Webサービス9件の停止を告知した | ［2］ |
| 2026年 | 佐川急便 | 被害の拡大を防ぐため、インターネット貨物システムへの外部からのアクセスを遮断した | ［4］ |
| 2026年 | 佐川急便 | 個人情報保護委員会に速報を出し、第3報で専用コールセンターの開設を告知した | ［3、4］ |
| 2026年 | 佐川急便 | 第4報を出した | ［4］ |
| 2026年 | 佐川急便 | 第5報を出した | ［5］ |
影響範囲
佐川急便が示した対象
| 区分 | 対象 | 含まれる情報 | 資料 |
|---|---|---|---|
| 送り状データ | 6月21日〜9月30日（約100日間）に預かった荷物のご依頼主・お届け先 | 氏名、住所、電話番号 | ［5］ |
| 運賃契約の契約者情報（顧客リスト） | 運賃契約を締結している顧客 | 氏名、住所、電話番号 | ［5］ |
| スマートクラブの会員情報 | Webサービス「スマートクラブ」の登録者 | 氏名、住所、電話番号、メールアドレス、スマートクラブの会員ID | ［5］ |
佐川急便の第5報によると、送り状データの対象期間は、このシステムの送り状データの保管期間に基づく［5］。手書きの送り状で預かった荷物の情報は、流出の対象に含まれていない［5］。法人の情報は、法人名など特定の個人を識別しない情報だけの記録を除き、担当者名など特定の個人を識別できる情報を集計に含めた［5］。対象となる情報に、クレジットカード情報とパスワードは含まれない［5］。
第5報で佐川急便は、件数は重複した情報を一定程度整理したうえで算出した最大件数だと説明した［5］。すべての情報が外部へ流出したことを確認した件数ではなく、送り状データに相当数の重複が含まれるため、対象となる方の実人数も示さない［5］。区分ごとの件数は、同一の顧客の情報が重複して含まれるものが多数あり、実人数を適切に示すことが困難だとして公表していない［5］。
10月9日の第4報では、インターネット貨物システム以外のシステムとグループ会社のシステムへの影響は確認されていないとした［4］。第5報の段階でも、個人情報の不正利用などの二次被害は確認されていない［5］。
佐川急便はよくある質問のページで、スマートクラブへの登録の有無にかかわらず、該当期間に荷物を預かった顧客が対象になると説明した［6］。銀行口座情報は含まれない［6］。
配送を委託した組織の告知
| 組織 | 対象 | 件数・人数 | 含まれる情報 | 公表日 | 資料 |
|---|---|---|---|---|---|
| 横須賀市 | 令和8年6月下旬以降に返礼品の配送で佐川急便が取り扱ったふるさと納税の寄附者 | -（範囲や件数を確認中） | 氏名、住所及び電話番号（漏えいのおそれ） | 10月7日 | ［11］ |
| 仙北市 | ふるさと納税の寄附者（委託先を通じて返礼品の配送関連業務を依頼） | -（影響範囲等を確認中） | 氏名、住所及び電話番号（対象となるおそれ） | 10月15日 | ［12］ |
| 秋田市 | 令和8年6月下旬以降に返礼品の配送で佐川急便が取り扱ったふるさと納税の寄附者 | -（件数や範囲は確定していない） | 氏名、住所および電話番号（漏えいのおそれ） | 10月16日 | ［13］ |
| 能代市 | 令和8年6月下旬以降に返礼品の配送で佐川急便が取り扱ったふるさと納税の寄附者 | -（件数や範囲は確定していない） | 氏名、住所および電話番号（漏えいのおそれ） | 10月16日 | ［14］ |
| 東成瀬村 | 令和8年6月下旬以降に返礼品の配送で佐川急便が取り扱ったふるさと納税の寄附者 | -（件数や範囲は確定していない） | 氏名、住所及び電話番号（漏えいのおそれ） | 10月19日 | ［15］ |
| 大潟村 | 令和8年6月下旬以降に返礼品の配送で佐川急便が取り扱ったふるさと納税の寄附者 | -（件数や範囲は確定していない） | 氏名・住所・電話番号（漏えいのおそれ） | 10月21日 | ［16］ |
| アイ・イーシー | 6月21日〜9月30日にアイ・イーシーから佐川急便で発送した荷物（対象となる可能性） | -（確認と影響範囲の調査を佐川急便に要請中） | - | 10月26日 | ［9］ |
| WOWOW | 6月から9月までに委託先を通じて配送を依頼し、送り状発行システム「e飛伝」を利用した顧客 | 200名 | お名前、ご住所、お電話番号（漏えいの可能性） | 10月29日 | ［7］ |
| 中国電力 | エネルギアポイントサービスの商品交換で6月21日から9月30日までに佐川急便が配送した商品のお届け先 | 約17,600件（重複を含む） | 氏名、住所、電話番号（流出の可能性） | 10月29日 | ［17］ |
| モスフードサービス | 佐川急便の対象期間中にモス公式オンラインショップでカスタマイズアパレル商品を購入し、佐川急便で発送された顧客 | 483名 | お届け先氏名（法人名・ご担当者名）、お届け先住所、お届け先電話番号、お荷物問い合わせ送り状番号（漏洩のおそれ） | 10月31日 | ［8］ |
横須賀市と大潟村は、寄附者の個人情報が漏えいした事実は確認されていないとした［11、16］。アイ・イーシーは告知で、品名が含まれるかどうかは佐川急便が調査中だと書いた［9］。Hapilaboは10月2日に告知を出し、10月24日の追記で、一時停止していたお荷物問い合わせサービスは復旧したと案内した［10］。
対応と現状
- 佐川急便は第三者専門機関の協力のもと、関係するシステムを中心に監視・検知体制を強化した［4］。
- 調査の結果を踏まえ、システム構成、アクセス制御、脆弱性管理、権限管理および監視体制を点検し、見直すとした［4］。
- 警察に相談している［6］。
第5報によると、佐川急便は対象となる可能性のある顧客に順次案内し、個別の案内が困難な顧客には第5報の公表をもって通知に代える［5］。個人情報保護委員会への今後の報告は、対象となる出荷人（配送業務を委託している顧客）との連名で行う方向で準備していると、佐川急便は第4報で説明した［4］。第5報では、連名に同意しない出荷人は自身による報告（速報・確報）が必要となる場合があるとした［5］。
第5報の後も停止を続けているのは、インターネット貨物のお荷物問い合わせAPI・飛脚宅配便受付・飛脚往復便受付・飛脚往復便（ゴルフ）受付・商品回収返金サービス・受取先変更（2種）・回収くんである［5］。佐川急便は第4報で、荷物の集荷・輸送・配達業務は継続していると説明した［4］。Webでの受付を止めているあいだも、電話での集荷依頼は受け付けている［6］。
未公表の事項
出典
当事者
- ［1］佐川急便株式会社『「お荷物問い合わせサービス」への不正アクセスの発生について(第1報）』（2026年9月30日公開）
- ［2］佐川急便株式会社『「お荷物問い合わせサービス」への不正アクセスによる個人情報流出の可能性について（第2報）2026年10月1日』（2026年10月1日公開）
- ［3］佐川急便株式会社『「お荷物問い合わせサービス」への不正アクセスによる個人情報流出の可能性について（第3報）2026年10月1日』（2026年10月1日公開）
- ［4］佐川急便株式会社『「お荷物問い合わせサービス」への不正アクセスによる個人情報流出の可能性について（第4報）2026年10月9日』（2026年10月9日公開）
- ［5］佐川急便株式会社『「お荷物問い合わせサービス」の再開および 個人情報の流出に関する調査状況について（第5報）』（2026年10月23日公開）
- ［6］佐川急便株式会社『よくある質問（FAQ）｜「お荷物問い合わせサービス」への不正アクセスについて』（公開日不明、2026年10月23日更新、2026年11月5日閲覧）
関係組織
- ［7］株式会社WOWOW『佐川急便への不正アクセスに伴う、お客さまの個人情報漏えいの可能性についてのご報告とお詫び』（2026年10月29日公開）
- ［8］株式会社モスフードサービス『配送委託先（佐川急便）への不正アクセスに伴う、お客さまの個人情報漏洩のおそれに関するお知らせとお詫び』（2026年10月31日公開）
- ［9］株式会社アイ・イーシー『配送委託先（佐川急便株式会社）への不正アクセスによる個人情報流出の可能性に関するお知らせとお詫び』（2026年10月26日公開）
- ［10］Hapilabo Co., Ltd.『配送委託先（佐川急便）への不正アクセスに関するお知らせ』（2026年10月2日公開、2026年10月24日更新）
- ［11］横須賀市『【横須賀市ふるさと納税】佐川急便株式会社に対する不正アクセスに伴う個人情報の漏えいのおそれについて』（2026年10月7日公開）
- ［12］仙北市『【仙北市ふるさと納税】佐川急便株式会社に対する不正アクセスに伴う個人情報の漏えいのおそれについて（報道発表資料）』（2026年10月15日公開）
- ［13］秋田市『【ふるさと納税】佐川急便株式会社に対する不正アクセスによる個人情報漏えいのおそれについて』（2026年10月16日公開）
- ［14］能代市『【ふるさと納税】佐川急便株式会社に対する不正アクセスによる個人情報漏えいのおそれについて』（2026年10月16日公開）
- ［15］東成瀬村『【ふるさと納税】佐川急便株式会社に対する不正アクセスによる個人情報漏えいのおそれについて』（2026年10月19日公開）
- ［16］大潟村『佐川急便株式会社への不正アクセスに伴う個人情報漏えいのおそれについて』（2026年10月21日公開）
- ［17］中国電力株式会社『佐川急便株式会社に対する不正アクセスに伴う個人情報流出の可能性について』（2026年10月29日公開、PDF）
更新記録
- 2026年10月4日：公開した。
- 2026年10月7日：横須賀市の10月7日の告知（出典11）を「影響範囲」に加えた。
- 2026年10月8日：佐川急便のよくある質問のページ（出典6）を加え、7月の別の漏えいとの関係を「経緯」に、警察への相談を「対応と現状」に加えた。
- 2026年10月9日：佐川急便の第4報（出典4）を加え、発覚の日時と外部からのアクセスの遮断を「時系列」に、他のシステムへの影響の説明を「影響範囲」に、監視体制の強化と点検の対象を「対応と現状」に加えた。
- 2026年10月15日：仙北市の10月15日の告知（出典12）を「影響範囲」の表に加えた。
- 2026年10月16日：秋田市と能代市の10月16日の告知（出典13、14）を「影響範囲」の表に加えた。
- 2026年10月19日：東成瀬村の10月19日の告知（出典15）を「影響範囲」の表に加えた。
- 2026年10月21日：大潟村の10月21日の告知（出典16）を「影響範囲」の表に加えた。
- 2026年10月23日：佐川急便の第5報（出典5）とよくある質問のページの10月23日の更新（出典6）を加え、件数と対象の区分を「影響範囲」に、お荷物問い合わせサービスの再開と停止を続けるサービスを「対応と現状」に加え、リードを改めた。
- 2026年10月24日：Hapilabo Co., Ltd.の告知の10月24日の追記（出典10）を「影響範囲」に加えた。
- 2026年10月26日：アイ・イーシーの10月26日の告知（出典9）を「影響範囲」の表に加えた。
- 2026年10月29日：WOWOWと中国電力の10月29日の告知（出典7、17）を「影響範囲」の表に加えた。
- 2026年10月31日：モスフードサービスの10月31日の告知（出典8）を「影響範囲」の表に加えた。