日本郵便 国際郵便「調査請求Web受付サービス」への不正アクセス（顧客情報約600件が閲覧可能な状態に）
公表日
日本郵便の国際郵便「調査請求Web受付サービス」に外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、登録された顧客情報約600件が第三者から閲覧可能な状態でした。実際に閲覧されたかは確認できていません。
対象者は？
国際郵便の「調査請求Web受付サービス」に情報を登録した顧客。神奈川県・山梨県の郵便局から差し出された一部の国際郵便物が対象の試行運用でした。閲覧可能だったのは延べ約600件（実際に閲覧されたかは確認できていません）。差出人の氏名・住所・電話番号・メールアドレス、受取人の氏名・住所など、問い合わせ番号・郵便種別・料金・差出郵便局などです。発表された項目にクレジットカード情報は挙げられていません。
日本郵便は対象の顧客に順次連絡する予定としています。連絡が来ていない場合や不安がある場合は、お客様サービス相談センター（0120-23-28-86、携帯電話からは0570-046-666、全日8:00〜21:00）に問い合わせてください。
いますぐできること
- 調査請求サービスのメールドメインから心当たりのないメールが届いたら、添付ファイルや本文中のURLを開かずに削除する。
- 日本郵便を装うメールやSMSのリンクはクリックせず削除する。不安なときは最寄りの警察署か＃9110に相談する。
- 自分が対象か分からないときは、お客様サービス相談センターに問い合わせる。
何が起きたのか
2026年9月25日15時ごろ、日本郵便は、国際郵便物の調査請求をWebで受け付けるサービスのサーバに、外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けた可能性があることに気づきました。日本郵便はWeb受付を一時停止し、停止中は郵便局の窓口で書面による調査請求を案内しています。10月16日には、登録された顧客情報約600件が第三者から閲覧可能な状態だったと発表しました。調査では、サービス用のメールアカウントからスパムメールが送られていたことも分かり、該当のメールドメインは使用停止になりました。なお、9月29日には日本郵政・日本郵便が郵便局アプリへの不正アクセスも別に発表しています。両方の関係は、今回の資料では示されていません。
なぜ起きたのか・なぜ広がったのか
侵入された経路や原因は、まだ発表されていません。分かっているのは、サーバへの外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があったことと、顧客情報が閲覧可能な状態にあったことです。このサービスは神奈川県・山梨県の郵便局から出された一部の国際郵便物が対象の試行運用で、国際郵便物の配送そのものは止まっていません。
いまの状況2026-10-18 時点続報待ち
2026年10月18日時点で、Web受付は一時停止中で、再開時期は発表されていません。対象の顧客には順次連絡する予定とされています。情報が実際に閲覧されたかは確認できておらず、不正利用の形跡も今のところ確認されていないとされています。侵入経路・攻撃者・再発防止策は、まだ発表されていません。
企業として考えたいこと
自社の試験運用中のサービスや小さなWebサービスにも、本番と同じ見張りとログの保管があり、万一のとき「見られたか」を調べられますか。
技術的な要約
日本郵便は2026年9月25日15時頃、国際郵便物の「調査請求Web受付サービス」で使用しているサーバに外部から不正アクセスの可能性があることが発覚したと公表し、Web受付を一時停止した。10月16日には、同サービスに登録された顧客情報約600件が第三者から閲覧可能な状態にあったと発表した。閲覧可能だったのは差出人の氏名・住所・電話番号・メールアドレス、受取人の氏名・住所、問い合わせ番号、郵便種別、料金、差出郵便局などで、実際に閲覧されたか、不正利用の形跡があるかは確認できていない。調査では、サービス用のメールアカウントからスパムメールが送信されていたことも判明し、該当メールドメインの使用を停止した。侵入経路や攻撃者は公表されておらず、対象顧客へは順次連絡する予定とされている。なお、9月29日には日本郵政・日本郵便が郵便局アプリへの不正アクセスも別途公表している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明侵入経路は公表されていない。公式発表は「外部から不正アクセスの可能性があることが発覚」「原因および影響範囲については調査中」とするのみ。
- 脆弱性
- CVE 非公表不明悪用された脆弱性や製品名は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 調査請求Web受付機能のみ一時停止。国際郵便物そのものの配送サービス停止ではない。停止中は郵便局窓口で書面による調査請求を案内。9月26日時点で公式ページは「システムメンテナンス中」と表示。同サービスは神奈川県・山梨県の郵便局から差し出された一部の国際郵便物を対象とした試行運用。期間：2026-09-25の停止以降、再開時期は未公表
- データ
- おそれ上限 600確定 —件氏名住所電話メールその他閲覧可能な状態にあった顧客情報は延べ約600件。内訳は差出人の氏名・住所・電話番号・メールアドレス、受取人の氏名・住所（受取人の電話番号とメールアドレスは任意登録項目）、調査対象郵便物の問い合わせ番号・郵便種別・料金・差出郵便局など。実際に閲覧されたかは確認できておらず、不正利用の形跡も確認されていない。スパム送信先に今回の登録情報は利用されていないことを確認したとされる。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先や外部事業者経由との公表はない。
時系列
- 2026-09-25調査請求Web受付サービスで使用しているサーバに外部から不正アクセスが発生していたとされる。5
- 2026-09-25 15:00
- 2026-09-25
- 2026-09-25 22:30郵便局アプリに外部から不正アクセスがあり、ゆうIDおよび郵便局アプリの緊急メンテナンスを実施。3
- 2026-09-26公式サービスページは「システムメンテナンス中」の表示。日本郵便は不正アクセスが確認されたとは発表せず、侵入経路等も未公表。2
- 2026-09-29
- 2026-09-29調査の結果、ゆうIDおよび郵便局アプリに関連する顧客情報が不正に取得されたことが判明したと報じられた。3
- 2026-10-16
- 2026-10-16調査でサービス用メールアカウントからのスパムメール送信が判明。検知後に該当メールドメインの使用を停止。対象顧客へ順次連絡する予定とした。5
技術解説
公表された経緯と第1報の内容 事実
日本郵便は2026年9月25日15時頃、国際郵便物の調査請求Web受付サービスで使用しているサーバに外部から不正アクセスの可能性があることが発覚したと公表し、Web受付を一時停止した。15時ごろは攻撃開始時刻ではなく、日本郵便側で事象が発覚した時刻とされる。第1報では原因および影響範囲は調査中とされ、再開は改めてWebサイトで知らせるとされた。9月26日時点では、個人情報へのアクセス、情報漏えい、攻撃者、侵入経路は公表されていなかった。10月16日の続報で、登録された顧客情報600件程度が第三者から閲覧可能な状態にあったことが判明したと発表された。
閲覧可能だった情報と確認状況 事実
報道によれば、閲覧可能となっていたのは差出人の氏名・住所・電話番号・メールアドレス、受取人の氏名や住所などのほか、調査対象郵便物の問い合わせ番号、郵便種別、料金、差出郵便局などである。受取人の電話番号とメールアドレスは任意登録項目だった。件数は延べおよそ600件、または600件程度と報じられている。実際に閲覧されたかどうかは確認できておらず、現時点で登録情報が不正利用された形跡も確認していないとされる。サービス用のメールアカウントからスパムメールが送信されていたことも判明したが、スパム送信先に今回の登録情報は利用されていないことを確認したとされる。
対象サービスの性質と業務への影響 事実
調査請求Web受付サービスは、国際郵便物の不着、未受領、損傷、内容品不足、遅延などについて差出人がWebから調査を申し込めるサービスで、神奈川県と山梨県の郵便局から差し出された一部の国際郵便物を対象に試行運用されている。利用時にはメールアドレスの認証、お問い合わせ番号、差出人の電話番号などを入力する。停止しているのは調査請求のWeb受付機能で、国際郵便物の配送そのものの停止ではない。停止中は郵便局窓口での書面による調査請求が案内され、9月26日時点で公式ページは「システムメンテナンス中」と表示されていた。不正アクセス検知後には該当メールドメインの使用も停止された。
郵便局アプリへの不正アクセス（別途公表） 事実
日本郵政と日本郵便は9月29日、郵便局アプリへの不正アクセスを公表した。報道によれば、9月25日午後10時30分頃にゆうIDおよび郵便局アプリの緊急メンテナンスを実施し、調査の結果、ゆうIDおよび郵便局アプリに関連する顧客情報が不正に取得されたことが判明している。公式ページの本文には侵入経路・件数・原因などの詳細は記載されておらず、詳細は添付PDFで案内されている。なお、9月26日時点では、調査請求サービス以外の日本郵便サービスへの不正アクセスは公表されていないとされていた。両事案の関係について、今回参照した資料に記載はない。
公表内容の読み方 解釈
「閲覧可能な状態にあった」ことと「実際に閲覧された」ことは別であり、約600件は被害確定ではなく影響を受け得た件数の上限として読むのが適切と考えられる。第1報から続報まで約3週間あり、その間に調査が段階的に進んだことがうかがえるが、侵入経路や閲覧の有無は今も示されていない。また、同じ9月25日に調査請求サービスと郵便局アプリの双方で対応が行われているが、資料からは因果関係を判断できず、関連を断定すべきではない。試行運用の小規模サービスであったことが影響件数の規模に関わった可能性もあるが、これも公表情報からは確認できない。
対応
- 封じ込め
- 調査請求Web受付サービスのWeb受付を一時停止し、停止中は郵便局窓口での書面による調査請求を案内。不正アクセス検知後に該当メールドメインの使用を停止した。
- 公表の仕方
- 2026年9月25日に第1報として不正アクセスの可能性を公表（原因・影響範囲は調査中）。10月16日に続報として顧客情報約600件が閲覧可能な状態にあったことを公表。対象顧客へ順次連絡予定で、同ドメインからの心当たりのないメールは添付ファイルやURLを開かず削除するよう呼びかけた。日本郵便を装う不審メール・SMSへの注意喚起も掲載している。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 試行運用や限定提供のサービスも、本番サービスと同水準で守る対象に含める | 資産台帳に試行サービスのサーバ・ドメイン・メールアカウントを登録し、公開前チェックリストでWAF適用、脆弱性スキャン、ログ収集の有効化を必須にする。 |
| 「閲覧可能だった」と「閲覧された」を後から区別できる証跡を残す | Webサーバのアクセスログ、アプリ認証ログ、DB監査ログを集中ログ基盤へ転送し、改ざん困難な形で一定期間（例：1年）保管する。個人情報テーブルへの参照を監査ログで追跡できるようにする。 |
| サービス用メールアカウントが外部送信に悪用される事態に備える | 送信量・宛先数のレート制限と異常送信アラートを設定し、SPF・DKIM・DMARCを適用する。認証情報は定期ローテーションし、侵害疑い時に即時失効できる手順を用意する。 |
| サービス停止中の代替受付手段を事前に決めておく | Web受付停止時に窓口の書面等へ切り替える手順、利用者向け告知文、再開判定基準を事前に文書化し、年1回の机上訓練で確認する。 |
| 続報の公表で、対象範囲と未確認事項を分けて示す | 公表テンプレートに「閲覧可能だった件数」「閲覧確認の有無」「不正利用の形跡」「連絡方法」「注意すべき送信元ドメイン」の欄を設け、調査の進行に応じて更新する。 |
自組織などでの確認項目
- 自組織の試行運用・小規模サービス（PoC、キャンペーン用サイトなど）は、資産台帳に載り、ログ収集や脆弱性診断の対象になっていますか。
- 個人情報が「閲覧可能な状態にあった」場合に、実際に閲覧されたかをログから判断できますか。ログの保管期間と保管場所は十分ですか。
- サービス用のメールアカウントやドメインが悪用された場合、送信量の異常を検知し、短時間で停止できる体制がありますか。
- 主要なWebサービスを停止したとき、利用者が使える代替手段と告知手順は決まっていますか。
未解明点
- 侵入経路、悪用された脆弱性や製品名、攻撃者は公表されていない。
- 登録情報が実際に閲覧されたかは確認できておらず、閲覧可能だった期間や件数の詳細な内訳も示されていない。
- サービス用メールアカウントから送信されたスパムメールの件数や宛先、メールアカウントがどう侵害されたかは公表されていない。
- 調査請求Web受付サービスの再開時期と再発防止策は公表されていない。
- 郵便局アプリ・ゆうIDの不正アクセスとの関係の有無は、今回の資料では示されていない。
- 個人情報保護委員会などの当局への報告・対応状況は公表されていない。
出典
- 1NHK2026-10-16報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-27報道本文確認済
- 3ScanNetSecurity2026-10-02報道本文確認済
- 4日本郵政株式会社・日本郵便株式会社2026-09-29公式本文確認済
- 5LOGISTICS TODAY2026-10-16報道本文確認済
- 6日本郵便2026-10-16公式本文確認済
- 7日本郵便2026-09-25公式本文確認済
- 8日本郵便株式会社公式本文確認済