日本郵便「郵便局アプリ」・ゆうIDへの不正アクセス（19名分・69件の顧客情報を不正取得）
公表日
日本郵便の「郵便局アプリ」が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、19名分・69件の顧客情報が取得されました。件数は少ないものの、住所録や送り状の情報まで含まれていました。
対象者は？
郵便局アプリとゆうIDの利用者のうち19名分です。ゆうIDの会員情報（氏名・住所・生年月日・性別・電話番号・メールアドレス、登録していれば勤務先や家族の状況）のほか、アプリの住所録に登録された家族や知人の連絡先、アプリで作った送り状（差出人・受取人、追跡番号、品名、発送・配達の予定）が含まれ、どの情報かは人によって異なります。パスワードやクレジットカード情報が取得されたとは書かれていません。
対象の方には、日本郵便から書面などで個別に連絡するとされています。
いますぐできること
- 「不在のため持ち帰りました」などの宅配便を名乗るSMSやメールのリンクは開かず、郵便局アプリや公式サイトの追跡サービスで確認する
- 本当の追跡番号や品名、配達日が書かれた連絡でも、それだけで本物と判断しない
- ゆうIDと同じパスワードを他のサービスでも使っていれば、そちらも含めて変更しておく
何が起きたのか
2026年9月25日の夜10時半ごろ、日本郵便は郵便局アプリへの外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けて、ゆうIDと郵便局アプリを緊急メンテナンスで止めました。調査と対策をしたうえで、翌26日にサービスを再開しました。9月29日に、日本郵政と日本郵便は、顧客情報69件（19名分）が不正に取得されたと発表しました。
なぜ起きたのか・なぜ広がったのか
どこから、どのように侵入されたか、いつから不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が始まっていたかは、まだ公表されていません。同じ9月25日の昼には、国際郵便の調査を申し込むWebサービスでも不正アクセスの可能性が見つかっていますが、今回の件との関係は説明されていません。
いまの状況2026-09-29 時点続報待ち
サービスは9月26日に再開しています。9月29日の時点で、取得された情報が悪用された形跡は確認されていないとしています。侵入の経路、69件の内訳、具体的な再発防止策は、まだ発表されていません。
企業として考えたいこと
自社のアプリで、お客様本人だけでなく、お客様が登録した家族や取引相手の情報まで預かっていないでしょうか。その人たちは、自分の情報が預けられていることを知らないかもしれません。
技術的な要約
日本郵政と日本郵便は2026年9月29日、「郵便局アプリ」に外部からの不正アクセスがあり、ゆうIDおよび郵便局アプリに関連する顧客情報69件（19名分）が不正に取得されたと公表した。両社は9月25日22時30分ごろにゆうIDと郵便局アプリの緊急メンテナンスを実施し、調査・対策を行ったうえで9月26日にサービスを再開した。取得された情報はゆうID会員情報（氏名・住所・生年月日・性別・電話・メール、登録があれば勤務先・家族状況）、住所録に登録された第三者の連絡先、アプリで作成した送り状情報（差出人・受取人、追跡番号、品名、発送・配達予定）で、該当者によって異なる。侵入経路・手口・不正アクセスの開始時期は公表されておらず、9月29日時点で不正利用の形跡は確認されていないとしている。同じ9月25日に公表された国際郵便の調査請求Web受付サービスへの不正アクセスの可能性（別事案）との関係は説明されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公式発表は「郵便局アプリに外部からの不正アクセスがありました」とするのみで、侵入経路・手口（脆弱性悪用、不正ログイン／リスト型攻撃、API認可不備など）は非公表。報道（セキュリティ対策Lab、innovatopia、ScanNetSecurity）も侵入経路は公表されていないと整理しており、悪用された脆弱性や認証情報の有無も不明。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2026年9月25日22時30分ごろからゆうIDと郵便局アプリを緊急メンテナンスとして停止し、調査・対策後の9月26日に再開。郵便・ゆうパックの引受・配達など中核業務の停止は公表されていない。期間：2026-09-25 22:30頃〜2026-09-26（再開時刻は非公表、1日未満〜1日程度）
- データ
- 確定上限 69確定 69件氏名住所生年月日性別電話メールその他（勤務先情報・家族状況※登録者のみ）その他（住所録に登録された第三者の氏名・住所・企業名・電話・メール）その他（送り状情報：差出人・受取人の氏名・住所・企業名・電話・メール、追跡番号、品名、発送・配達予定）公式発表は「計69件（19名分）」が不正に取得されたと確定表現。69件の内訳（会員情報／住所録／送り状の各件数）や数え方は非公表。19名がゆうID会員本人の数か、住所録・送り状の受取人など第三者を含むかも示されていない（innovatopia指摘）。取得項目は該当者によって異なる。パスワード、クレジットカード、口座、マイナンバーが取得されたとの記載はない。9/29時点で不正利用の形跡は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先や他組織への波及は公表されていない。
時系列
- 2026-09-25 15:00（別事案）国際郵便の調査請求Web受付サービスのサーバに外部からの不正アクセスの可能性が発覚し、同サービスの受付を一時停止。本件との関係は公表されていない2
- 2026-09-25 22:30
- 2026-09-26必要な調査と対策を実施したうえでゆうID・郵便局アプリのサービスを再開1
- 2026-09-29日本郵政・日本郵便が公表。ゆうID・郵便局アプリ関連の顧客情報69件（19名分）の不正取得を確認、不正利用の形跡は確認されていない。該当者へ書面等で個別連絡予定1
- 2026-09-30
- 2026-10-03同時期にヤマト運輸・佐川急便でも不正アクセスが公表され、報道は物流3社の事案を並べて整理。ただし攻撃者・侵入口・共通基盤の公表はなく、同一キャンペーンとは結論づけられていない6
技術解説
公表された事実：少数・確定・多項目 事実
本件の特徴は、件数が69件（19名分）と極めて少ない一方、「取得された」と確定表現で公表され、取得項目が会員属性から住所録、送り状まで横断している点にある。ゆうID会員情報には氏名・住所・生年月日・性別・電話・メールに加え、登録があれば勤務先と家族状況が含まれる。住所録にはアプリ利用者ではない家族・知人の氏名と住所、送り状には差出人・受取人の住所に加え追跡番号・品名・発送／配達予定が含まれる。対応は9/25 22:30ごろの緊急メンテナンス、翌9/26の再開、9/29の公表という流れで、停止は1日程度にとどまった。一方、侵入経路、手口、不正アクセスの開始時刻、69件の内訳、具体的な再発防止策はいずれも公表されていない。
少数アカウントに限定された理由（推測） 解釈
取得が19名分に限られ、各人について会員情報・住所録・送り状がまとめて取得されている形は、システム全体のデータベースが抜かれた型よりも、特定アカウントのセッション内でアクセスできる範囲が読まれた型に近い。考えられるのは、(1) 他サービスから流出したID・パスワードによるリスト型攻撃で一部アカウントへのログインに成功した、(2) アプリのAPIでオブジェクト単位の認可確認が不十分で、ID列挙により他人の住所録や送り状を参照できた（BOLA/IDOR）、の二つである。(1)なら停止は不要でアカウント単位のロックで足りることが多く、全体の緊急メンテナンスに踏み切った点は(2)のようなサーバ側の欠陥を修正した可能性とも整合する。ただしいずれも推測で、公式は手口を明らかにしていない。
送り状・住所録データの二次被害リスク 解釈
漏えい件数が少なくても、送り状情報は追跡番号・品名・配達予定を含むため、宅配業者を装ったSMS・メール（不在通知詐欺）の文面を本物らしくする材料になる。実際の荷物の品名や配達日に言及されれば、受取人が偽の再配達URLを開く確率は大きく上がる。また住所録経由で、アプリを使っていない第三者の氏名・住所も取得されており、本人は自分の情報がこのサービスに登録されていたこと自体を知らない可能性がある。日本郵便は該当者へ書面等で個別連絡するとしているが、住所録・送り状上の第三者まで通知対象に含めるかは公表されていない。
国際郵便の調査請求Web受付との関係 事実
日本郵便は同じ9月25日の15時ごろ、国際郵便の調査請求Web受付サービスのサーバへの不正アクセスの可能性を別途公表しており、時間的には郵便局アプリの緊急メンテナンス（22時30分ごろ）の約7時間半前にあたる。ただし9/29の郵便局アプリの公表は国際郵便の件に言及しておらず、両者の関連（同一攻撃者、共通基盤、ゆうIDとの連携の有無）は公表されていない。報道も別件として扱うのが適切としている。同日中に別システムで二つの異常が見つかったことが、社内の監視強化や横断点検の結果なのか偶然なのかは不明で、本台帳では別事案（2026-japanpost-intl）として記録する。
対応
- 封じ込め
- 2026-09-25 22:30ごろゆうIDと郵便局アプリを緊急メンテナンスで停止し、調査と対策を実施して9月26日に再開。具体的な技術的対策（脆弱性修正、パスワードリセット、レート制限等）は非公表。
- 公表の仕方
- 2026-09-29に日本郵政・日本郵便連名で公表（PDF）。件数（69件・19名分）と取得項目の区分を開示し、該当者へは書面等で個別連絡するとした。侵入経路・発生時期・再発防止策の具体は記載なし。2026-10-10時点で続報は確認できなかった。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 侵入経路と再発防止策が公表されず、利用者が自分で取るべき対応（パスワード変更の要否等）を判断できない | 公表文に「原因区分（不正ログイン／アプリの脆弱性／内部）」と「利用者に必要な行動（パスワード変更の要否、他サービスでの使い回し確認）」を必ず記載するテンプレートを用意する。手口が未確定でも、どちらの可能性を排除したかを書く |
| 1アカウントの侵害（または認可不備）で会員情報・住所録・送り状が一括で読める | 住所録・送り状履歴の参照APIでリソース所有者をサーバ側で必ず照合（BOLA対策）し、ID連番を避けUUID化。過去の送り状は一定期間後に参照不可にし、閲覧時は再認証（ステップアップ認証）を求める |
| 共通ID（ゆうID）に対するリスト型攻撃の可能性が排除されていない | ログイン失敗率・IP/ASN単位の試行数を監視しレート制限とボット検知を導入。漏えいパスワード照合（HIBP等のk-匿名API）で既知流出PWの登録を拒否し、パスキーや二要素認証を提供する |
| 送り状・追跡番号の漏えいは少数でも配送詐欺の材料になる | 漏えい対象の追跡番号を内部でフラグ付けし、当該荷物の配達・再配達依頼に追加確認を入れる。通知では『当社はSMSで再配達URLを送らない』など、偽装を見分ける具体的な判定基準を示す |
| 住所録・送り状上の第三者（非会員）の情報も漏えいしたが、通知範囲が不明 | 個人情報の項目ごとに本人連絡の可否と方法を事前に設計しておく（会員本人／住所録登録者／受取人）。非会員の第三者には会員経由での周知や公表文での具体的説明を用意する |
自組織などでの確認項目
- あなたのサービスでは、1つのアカウントが侵害されたとき、そのアカウントから取得できる『他人の情報』（住所録・取引先・送付先など）はどれだけあるか。それは利用者が期待する範囲か。
- 不正ログインと認可不備のどちらでも説明できる少数件数の漏えいを検知したとき、サービス全体を止めるかアカウント単位で止めるかを、どの情報で判断するか。
- 同じ日に別システムで2件の異常が見つかった場合、両者の関連をどう調べ、公表文でどう説明するか（関係がない／調査中／不明の書き分け）。
- 追跡番号や品名が漏れたとき、それを使った配送詐欺から顧客を守るために、自社の配送・通知フローで何を変えられるか。
未解明点
- 侵入経路・手口（不正ログイン、アプリ／APIの脆弱性、認可不備など）と不正アクセスの開始時刻・検知の経緯
- 69件の内訳（会員情報・住所録・送り状それぞれの件数）と、19名に住所録登録者・受取人など第三者が含まれるか
- 9/25 15時ごろに発覚した国際郵便の調査請求Web受付サービスの件との関係の有無
- 個人情報保護委員会への報告状況、具体的な再発防止策、パスワードリセット等の利用者側措置の有無
出典
- 1日本郵政・日本郵便2026-09-29公式本文確認済
- 2日本郵便2026-09-25公式本文確認済
- 3ScanNetSecurity2026-10-02報道本文確認済
- 4セキュリティ対策Lab（Rocket Boys）2026-09-30報道本文確認済
- 5innovatopia2026-09-30報道本文確認済
- 6セキュリティ対策Lab（Rocket Boys）2026-10-03報道本文確認済
- 7セキュリティ対策Lab（Rocket Boys）2026-10-05報道本文確認済