佐川急便「スマートクラブ」への不正ログイン（流出ID・パスワードの使い回しが疑われる、約19時間）
公表日
佐川急便の会員向けサイト「スマートクラブ」で、2025年10月15日から16日にかけて第三者による不正ログインが確認されました。影響を受けたアカウント数はまだ発表されていません。
対象者は？
スマートクラブのマイページで不正ログインを受けた可能性のある利用者。クレジットカード情報と銀行口座情報の漏えいはないとされています。対象となる人数は、まだ発表されていません。
対象の可能性がある利用者には、佐川急便から個別に連絡が行われるとされています。
いますぐできること
- 他のサービスと同じIDとパスワードを使っている場合は、速やかに変更する。
- スマートクラブのマイページで、パスワードを変更し、2段階認証を設定する。
- 佐川急便から個別の連絡が来ていないか確認する。
何が起きたのか
2025年10月15日、佐川急便は、会員向けサイト「スマートクラブ」で、第三者による不正ログインを見つけたと発表しました。外から不正に手に入れたIDとパスワードが使われた可能性が高いと説明しています。同社は、不正なアクセス元を特定してブロックし、安全のためマイページへのアクセスを一時的に制限しました。10月27日の続報で、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の発生期間は「10月15日17時22分から16日12時まで」に更新されました。
なぜ起きたのか・なぜ広がったのか
同社は、外部で不正に入手されたIDとパスワードが使われた可能性が高いと説明しています。報道では、他のサービスで流出したIDとパスワードの使い回しを狙った攻撃が疑われています。発生期間が延びた理由は、まだ発表されていません。
いまの状況2025-10-27 時点続報待ち
2025年10月27日時点で、マイページのアクセス制限は解除されています。マイページの2段階認証は「推奨」から「設定が必要」に変わりました。サーバーや業務システムへの影響は確認されていないとされています。不正ログインを受けた可能性のある利用者へは、個別に連絡が行われます。被害アカウント数は、まだ発表されていません。
企業として考えたいこと
自社の会員サイトで、他社から流出したIDとパスワードを使ったログインを、どのくらい早く見つけて止められるでしょうか。
技術的な要約
佐川急便は2025年10月15日、会員向けWEBサービス「スマートクラブ」で第三者による不正ログインを検知したと発表した。外部で不正に入手されたIDとパスワードが使われた可能性が高く、流出した認証情報の使い回しを狙ったクリデンシャルスタッフィングが疑われている。不正ログインの発生期間は当初10月15日17時22分〜20時42分とされたが、10月27日の続報で10月16日12時までに更新された。サーバーや業務システムへの影響、クレジットカード情報・銀行口座情報の漏えいはないとされ、不正アクセス元のIPアドレスは特定・ブロック済みである。マイページへのアクセス制限は続報時点で解除され、2段階認証は「推奨」から「設定が必要」に変更された。不正ログインを受けた可能性のある顧客には個別に連絡が行われる。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用公表で確認外部で不正に入手されたIDとパスワードが使われた可能性が高いと同社が説明。外部で流出したID・パスワードの使い回しを狙ったクリデンシャルスタッフィングが疑われている。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし サーバーや業務システムへの影響は確認されていない。安全確保のため、サイト内の「マイページ」へのアクセスを一時的に制限したが、10月27日の続報時点で解除済み。期間：マイページのアクセス制限は10月15日の発表時点から10月27日の続報時点までの間に解除（解除日は非公表）
- データ
- 調査中上限 —確定 —被害アカウント数・件数は、参照した情報では公表されていない。不正ログインの可能性がある利用者には個別連絡を行う。クレジットカード情報・銀行口座情報の漏えいはないとされる。マイページ内で閲覧可能な情報の内訳は、参照した情報では示されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
公表された事案の概要 事実
報道によれば、佐川急便は2025年10月15日、会員向けサイト「スマートクラブ」(WEBサービス「佐川急便スマートクラブ」)で第三者による不正ログインを検知したと発表した。同社は、外部で不正に入手されたIDとパスワードが使われた可能性が高いと説明している。不正アクセス元のIPアドレスは特定済みでブロック対応を行っており、安全確保のためマイページへのアクセスを一時的に制限した。サーバーや業務システムへの影響は確認されておらず、クレジットカード情報や銀行口座情報の漏えいは発生していないとされる。10月27日には続報が発表された。
不正ログインの手口に関する説明 事実
同社は、外部で不正に入手されたIDとパスワードが使われた可能性が高いと説明している。報道では、今回の不正ログインは外部で流出したID・パスワードの使い回しを狙った攻撃、いわゆるクリデンシャルスタッフィングが疑われている、と伝えられている。第三者が不正に入手したIDとパスワードを使ったと思われる不審なアクセスを検知し、顧客のアカウントに対して不正ログインされたことが判明したという。サーバーや業務システムへの侵入があったとは伝えられていない。
発生期間の更新と続報の内容 事実
第1報では、不正アクセスの発生は10月15日17時22分から20時42分の間とされていた。10月27日の続報では発生日時が10月15日17時22分から10月16日12時までに更新され、前回より遅い時間までを含む形に長くなった。続報では「お客さまへのお願い」も追記更新され、マイページの2段階認証が「推奨」から「設定が必要」に変更された。第1報時点で制限されていたサイトへのアクセスは、すでに解除されている。不正ログインを受けた可能性のある顧客へは個別連絡が行われる。
公表内容から読み取れること 解釈
発生期間は最初の発表から延びており、調査の進展に伴って範囲が見直されたと読める。更新の理由は、参照した報道では示されていない。始点から終点まで約19時間弱であり、この間に不正ログインが続いた可能性がある。同社はIPアドレスのブロックとアクセス制限を行い、続報で2段階認証を必須に近い形へ改めている。これは、パスワードだけに頼る認証の弱点に対応する動きとも解釈できる。一方、被害アカウント数や閲覧された情報の内訳は参照した情報にない。そのため、影響の大きさはまだ判断しにくい。
対応
- 封じ込め
- 不正アクセス元のIPアドレスを特定しブロック。安全確保のためマイページへのアクセスを一時制限し、10月27日の続報時点で解除済み。2段階認証は「推奨」から「設定が必要」に変更された。
- 公表の仕方
- 2025年10月15日に第1報を発表し、不正ログインの可能性がある顧客には個別に連絡するとした。10月27日の続報で発生日時とお客さまへのお願いを追記更新した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| パスワードだけの認証では、他サービスから流出したID・パスワードの使い回しを防ぎにくい | 会員向けサービスで2段階認証を必須にする。移行期間中は未設定アカウントの重要操作に追加認証を挟み、設定率を計測して段階的に強制する。 |
| 短時間でも不正ログインは起こり、調査で範囲が広がることがある | ログイン成功・失敗、IP、UA、端末情報を十分な期間保存する。発生期間を後から再算出できるよう、認証ログの集計クエリを事前に用意する。 |
| 攻撃元IPのブロックだけでは、攻撃の再開や分散に対応しきれない場合がある | IP単位の遮断に加え、アカウント単位の試行回数制限、レート制限、ボット判定(CAPTCHA等)を実装する。流出済みパスワードの照合で登録・変更時に弾く運用も検討する。 |
| アクセス制限と利用者への依頼(パスワード変更、2段階認証)は、再開手順とセットで設計する | 再開前に、対象アカウントの強制パスワード再設定と2段階認証の登録導線を用意する。案内文面とFAQを事前に作り、再開時に同時公開できるようにする。 |
| 続報で内容が更新される事案では、何が変わったかを利用者に分かりやすく示す必要がある | お知らせページに更新履歴を残し、変更点(期間、依頼事項など)を明記する。更新日時と版を管理し、第1報との差分が分かる書式を決めておく。 |
自組織などでの確認項目
- 自社の会員向けサービスで、2段階認証は必須か任意か。任意の場合、未設定アカウントは全体の何割か、ログから確認できるか。
- 同じIPや端末からの大量ログイン失敗、または多数アカウントへの少数試行を、何分以内に検知できるか。検知後に誰が何を遮断するか決まっているか。
- 不正ログインの発生期間が後から延びた場合に備え、認証ログを何日分、検索可能な形で保存しているか。個別連絡の対象者を、ログから抽出できるか。
- アクセス制限をかけた後の再開条件(パスワード再設定、追加認証の導入など)と、利用者への案内手順は文書化されているか。
未解明点
- 不正ログインを受けたアカウントの数や、実際に閲覧された可能性のある情報の内訳は、参照した情報では公表されていない。
- 発生期間が10月16日12時まで延びた理由と、最初の検知に至った経緯は示されていない。
- 流出元とされる「外部」のID・パスワードがどこから入手されたかは、参照した情報では明らかでない。
- マイページのアクセス制限が解除された日は公表されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-10-18報道本文確認済
- 2物流ニュースのLNEWS（MediaBiz inc.）2025-10-16報道本文確認済
- 3LNEWS（物流ニュースのＬＮＥＷＳ）2025-10-27報道本文確認済