日本郵便 国際郵便「調査請求Web受付サービス」への不正アクセスの可能性（件数・影響範囲は調査中）
公表日
日本郵便の国際郵便の「調査請求Web受付サービス」のサーバーに、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があった可能性が見つかりました。サービスは止められ、どんな情報に影響があったかは調査中です。
対象者は？
対象になりうるのは、神奈川県・山梨県の郵便局から国際郵便を出し、調査請求Web受付サービス（試行中）を使った方です。このサービスでは、メールアドレス、お問い合わせ番号、差出人の電話番号、調査請求の内容を扱っています。ただし、情報が見られたり持ち出されたりしたかどうか、その件数は、まだ公表されていません。
影響の範囲は調査中です。続報は日本郵便の公式サイトで発表されます。
いますぐできること
- 日本郵便を名乗るメールやSMSで、荷物の調査や再配達を口実にリンクを開かせようとするものは開かず、公式サイトから確認する
- 国際郵便の調査請求が必要なときは、Web受付の再開を待つか、郵便局の窓口で手続きする
何が起きたのか
2026年9月25日の午後3時ごろ、日本郵便は、国際郵便の調査請求をWebで受け付けるサービスのサーバーに、外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があった可能性に気づきました。このサービスは、海外に送った郵便物が届かない・壊れていたといったときに調べてもらう申込みをWebでできるもので、神奈川県と山梨県の郵便局で出された郵便物を対象に試しに行われていました。会社は同じ日に公表し、サービスの受付を止めました。郵便局の窓口では、書面での調査請求を引き続き受け付けています。
なぜ起きたのか・なぜ広がったのか
原因や侵入の経路は、まだ公表されていません。そもそも不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が本当にあったかどうかも、「可能性」の段階で調査中です。同じ日の夜には「郵便局アプリ」への不正アクセスで緊急メンテナンスが行われましたが、この件との関係は説明されていません。
いまの状況2026-09-25 時点続報待ち
サービスは止まったままで、再開の時期は発表されていません。影響を受けた情報の有無や件数、原因、再発防止策も、まだ発表されていません。
企業として考えたいこと
自社で「試しに」動かしているサービスが、本番のお客様データにつながっていないでしょうか。試行中のシステムも、本番と同じように守られているか確認しましょう。
技術的な要約
日本郵便は2026年9月25日、国際郵便物の調査請求Web受付サービスで使用しているサーバに対し、外部から不正アクセスの可能性があることが同日15時ごろに発覚したと公表し、同サービスの受付を一時停止した。原因と影響範囲は調査中で、個人情報の閲覧・漏えいの有無、件数、侵入経路はいずれも公表されていない。同サービスは神奈川県・山梨県の郵便局で差し出された国際郵便物を対象に試行実施中で、登録メールアドレス、お問い合わせ番号、差出人電話番号、調査請求内容を扱い、国際郵便マイページサービスの送り状情報と自動連携する。2026年10月10日時点で続報・再開の公表は確認できず、同じ9月25日夜に緊急メンテナンスが行われた郵便局アプリの不正アクセス（別事案）との関係も説明されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公式発表は「調査請求Web受付サービスで使用しているサーバに対し、外部から不正アクセスの可能性があることが発覚」とするのみ。侵入の確定、手口、悪用された脆弱性・認証情報はいずれも非公表で、原因は調査中。なお同サービスの利用者認証は、メールアドレス登録・認証のうえ、お問い合わせ番号と差出人電話番号の組で行う仕組み（サービス案内ページ）。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2026-09-25から国際郵便物の調査請求Web受付を一時停止。調査請求は郵便局窓口での書面手続で引き続き可能（報道）で、国際郵便の引受・配達自体の停止は報じられていない。サービスページは9/26時点でシステムメンテナンス表示（報道）。期間：2026-09-25〜（10/10時点で再開の公表は確認できず）
- データ
- 調査中上限 —確定 —影響を受けた情報の項目・件数は非公表（調査中）。参考：サービスが通常扱う情報は、利用者が登録・認証するメールアドレス、お問い合わせ番号（追跡番号）、差出人電話番号、調査請求内容（未着・損傷・内容品不足等）で、国際郵便マイページサービスの送り状情報（差出人・名宛人の住所氏名、内容品等）と自動連携する。これらが閲覧・取得されたとは公表されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先・他組織への波及は公表されていない。
時系列
技術解説
公表された事実：『可能性』段階の即日公表 事実
日本郵便は9月25日15時ごろに外部からの不正アクセスの『可能性』を把握し、同日中に公表してWeb受付を止めた。発表は侵入の確定を述べておらず、影響を受けた情報の種類・件数、原因、侵入経路はいずれも『調査中』である。対象は国際郵便物の未着・損傷・遅延などの調査請求をWebで受け付けるサービスで、神奈川県・山梨県の郵便局差出分に限った試行運用だった。利用者はメールアドレスを登録・認証し、お問い合わせ番号と差出人電話番号で本人性を確認する。国際郵便マイページサービスで作った送り状情報と自動連携する設計で、連携先の情報まで影響が及んだかは不明である。10月10日時点で続報や再開告知は確認できなかった。
試行サービスが攻撃面になる構造（推測） 解釈
試行運用のサービスは対象地域・利用者が限られる一方、本番系の送り状データ（国際郵便マイページ）と連携しているため、セキュリティ審査や監視が本番並みでないまま本番データへの経路を持つ危険がある。認証が『お問い合わせ番号＋差出人電話番号』という知識情報の組み合わせで成り立つ場合、追跡番号は荷物ラベルや通知メールに印字され第三者が知り得る値であり、電話番号も推測・入手が比較的容易なため、総当たりや他所で得た情報による照会への耐性は高くない。ただし今回の『不正アクセスの可能性』がこの認証面を突いたものか、サーバのソフトウェア脆弱性によるものかは公表されておらず、いずれも推測である。
郵便局アプリ事案との関係 解釈
同じ9月25日の22時30分ごろ、日本郵便はゆうIDと郵便局アプリの緊急メンテナンスを行い、9月29日に顧客情報69件（19名分）の不正取得を公表した。時間差は約7時間半で、どちらも日本郵便の顧客向けWebシステムだが、9/29の発表は国際郵便の件に触れておらず、両者の関係（同一攻撃者、共通基盤・共通IDの有無、一方の調査がもう一方の発見につながったか）は説明されていない。報道も関連を示す根拠はないとしている。本台帳では別事案として記録し、アプリの件は2026-japanpost-appで扱う。仮に関連がなくても、同日に2件が見つかったことは、少なくとも日本郵便の顧客向けWeb資産が同時期に探索対象になっていた可能性を示す（推測）。
対応
- 封じ込め
- 2026-09-25に調査請求Web受付サービスの受付を一時停止し、原因・影響範囲を調査中。窓口での書面による調査請求は継続（報道）。具体的な技術的措置は非公表。
- 公表の仕方
- 発覚当日（2026-09-25）に『可能性』段階で公表。影響範囲・件数・原因は調査中とし、再開は改めて知らせるとした。2026-10-10時点で続報は確認できなかった。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 試行運用のサービスが本番の送り状データと連携しており、侵害時の影響が試行範囲を超えうる | 試行サービスにも本番と同じ脆弱性診断・WAF・ログ監視を適用し、本番データへの連携はサービス専用の読み取りAPIに限定（参照できるのは請求者自身の送り状のみ、件数・頻度上限付き）。連携用の認証情報は試行環境に長期保存しない |
| 追跡番号＋電話番号という第三者が知り得る値の組で本人確認している | 追跡番号ベースの照会にはレート制限・CAPTCHA・失敗回数ロックを入れ、個人情報を表示する前にマイページのログインやSMSワンタイムコードなど所持要素を要求する |
| 『可能性』の段階で即日停止・公表したが、その後の続報が出ていない | 初報時に次回報告の予定日（例：1週間以内）を明記し、影響なしと判断した場合も『確認した範囲と根拠』を続報で示す運用にする |
| 同じ組織の別システムで同日に異常が見つかっても、関連の有無が説明されない | インシデント発生時は同一組織の外部公開資産（共通ID基盤、同一ホスティング、同一委託先）を横断的に点検するチェックリストを用意し、関連調査の結果を公表文で明示する |
自組織などでの確認項目
- あなたの組織の『試行中』『PoC』『キャンペーン用』のWebサービスは、本番データや本番IDとどう連携しているか。本番並みの監視・診断の対象になっているか。
- 追跡番号・注文番号・電話番号など、第三者が知り得る値だけで個人情報を表示している画面はないか。
- 不正アクセスの『可能性』の段階で公表する場合、続報で何を、いつまでに出すと決めているか。
- 同じ日に別システムで2件の異常を検知したら、関連を調べる担当と判断基準はどうなっているか。
未解明点
- 不正アクセスの有無の確定、侵入経路・手口、開始時刻
- 閲覧・取得された情報の有無、項目、件数（国際郵便マイページ連携データへの影響を含む）
- 郵便局アプリ・ゆうIDへの不正アクセス（同日22:30ごろ緊急メンテナンス）との関係
- サービス再開の時期と再発防止策
出典
- 1日本郵便2026-09-25公式本文確認済
- 2日本郵便公式本文確認済
- 3セキュリティ対策Lab（Rocket Boys）2026-09-27報道本文確認済
- 4ScanNetSecurity2026-09-30報道本文確認済
- 5セキュリティ対策Lab（Rocket Boys）2026-09-30報道本文確認済
- 6innovatopia2026-09-30報道本文確認済
- 7セキュリティ対策Lab（Rocket Boys）2026-10-03報道本文確認済
- 8日本郵政・日本郵便2026-09-29公式本文確認済