佐川急便「スマートクラブ」の配達予定通知メール設定誤り（最大約7万人の氏名・メールアドレス等が他会員に表示）
公表日
佐川急便の会員サービス「スマートクラブ」で、配達予定のお知らせメールに別の会員の氏名・メールアドレス・お問い合せ送り状番号が表示される事象があり、最大約7万人に影響した可能性があります（実際に表示された人数は発表されていません）。
対象者は？
スマートクラブの会員のうち、2026年7月15日夕方ごろの配達予定通知メールで影響を受けた可能性がある約7万人です。対象の情報は氏名・メールアドレス・お問い合せ送り状番号で、住所とクレジットカード情報は含まれていません。
影響を受けた可能性のある方には、佐川急便からお詫びと案内のメールが送られています。ご不明な点は、佐川急便CSインフォメーションセンター（0120-28-3449、9時〜17時、土日祝含む）に問い合わせてください。
いますぐできること
- スマートクラブに登録しているメールアドレスの受信箱で、佐川急便からのお詫びと案内のメールが届いていないか確認する。
- 案内メールの内容に不明な点があれば、CSインフォメーション（0120-28-3449）に問い合わせる。
- 身に覚えのない連絡には、すぐに応じず、窓口で確認する。
何が起きたのか
2026年7月15日の夕方ごろ、スマートクラブでシステムの不具合が起き、配達予定を知らせるメールの一部に、別の会員の氏名・メールアドレス・お問い合せ送り状番号が表示されました。佐川急便は事象を確認したあと、速やかに復旧対応を行い、7月19日に公表しました（共同通信配信記事は18日の発表と伝えています）。影響を受けた可能性のある方には、お詫びと案内のメールが送られました。
なぜ起きたのか・なぜ広がったのか
佐川急便の説明では、システムの不具合を直す復旧作業の際に、配達予定通知メールの設定に誤りが生じたことが原因です。同社は調査の結果、外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。やサイバー攻撃ではないと確認したとしています。どのような設定がどう誤っていたかなど、詳しい内容はまだ発表されていません。
いまの状況2026-07-22 時点
2026年7月22日時点で、サービスは正常に利用できる状態に戻り、原因を踏まえた対策も実施済みと説明されています。報道によると、現時点で不正利用は確認されていません。具体的な再発防止策の内容や、実際に他の会員へ情報が表示された人数は、まだ発表されていません。お詫びの品などの補償についても、まだ発表されていません。
企業として考えたいこと
自社が顧客に自動で送っているメールや通知で、障害の復旧作業のあとに、他の顧客の情報が混ざって送られていないことを、どのように確かめていますか。
技術的な要約
佐川急便は2026年7月、会員制Webサービス「スマートクラブ」の配達予定通知メールの一部で、本来とは異なる顧客の氏名・メールアドレス・お問い合せ送り状番号が表示される事象が発生したと公表した。事象の確認は7月15日夕方頃で、原因はシステム不具合に対する復旧作業の際に配達予定通知メールの設定に誤りが生じたことと説明されている。影響が及んだ可能性がある顧客は約7万人で、住所やクレジットカード情報は含まれず、現時点で不正利用は確認されていないと報じられている。同社は調査の結果、第三者による不正アクセスやサイバー攻撃ではないことを確認したとしている。復旧対応と原因を踏まえた対策は実施済みで、影響を受けた可能性のある顧客にはお詫びと案内をメールで送付した。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認同社は第三者による不正アクセスやサイバー攻撃ではなく、システム不具合に起因すると確認したとしている。侵入口に該当するものはなく、原因はシステム不具合の復旧作業時の配達予定通知メール設定の誤り。
- 脆弱性
- CVE 非公表公表で確認スマートクラブの配達予定通知メール設定システムの不具合に対する復旧作業を実施した際、配達予定通知メールの設定に誤りが生じた。製品の脆弱性やCVEは公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし サービス停止の有無は公表されていない。同社は事象確認後に速やかに復旧対応を実施し、現在は正常にサービスを利用できる状態としている。
- データ
- おそれ上限 70,000確定 —人氏名メールその他影響が及んだ可能性がある顧客は約7万人。対象情報は氏名・メールアドレス・お問い合せ送り状番号で、住所やクレジットカード情報は含まれない。配達予定日時を知らせるメールに別の会員の情報が載って送信された。現時点で不正利用は確認されていないと報じられている。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-07-15
- 2026-07-15
- 2026-07
- 2026-07
- 2026-07-18共同通信配信記事が、佐川急便が18日に約7万人分の個人情報漏えいを発表したと報道（他の報道は公表日を19日としており、日付に差がある）。1
- 2026-07-19
- 2026-07
技術解説
公表された事象の内容と日付・人数の扱い 事実
佐川急便は会員制Webサービス「スマートクラブ」の配達予定通知メールの一部で、本来とは異なる顧客の氏名・メールアドレス・お問い合せ送り状番号が表示される事象が発生したと公表した。公表日は、ScanNetSecurity、LNEWS、LOGISTICS TODAYなど複数の報道が2026年7月19日としている。共同通信配信記事は18日の発表としており、日付に差がある。事象の確認は7月15日夕方頃で、配達予定日時を知らせるメールに別の会員の情報が載って送信されたと報じられている。影響が及んだ可能性がある顧客は約7万人である。これは可能性の上限であり、実際に他者へ表示された人数の確定値は、参照した出典には示されていない。
原因の説明と、攻撃ではないとの確認 事実
原因は、システムの不具合に対する復旧作業を実施した際、配達予定通知メールの設定に誤りが生じたことと説明されている。共同通信配信記事も、システム不具合の解消作業中に設定を誤ったのが原因と伝えている。同社は調査の結果、本事象がシステムの不具合に起因するもので、第三者による不正アクセスやサイバー攻撃によるものではないことを確認したとしている。このため、侵入口や攻撃者に当たるものは出典上存在しない。最初にどのような不具合が起き、どの設定がどう誤っていたかという技術的な詳細は、参照した出典には記載がない。
対象情報の範囲と同社の対応 事実
対象となった情報は氏名・メールアドレス・お問い合せ送り状番号で、住所やクレジットカード情報は含まれていない。共同通信配信記事によれば、現時点で不正利用は確認されていない。同社は事象確認後に速やかに復旧対応を実施し、現在は正常にサービスを利用できる状態で、発生原因を踏まえた対策も実施済みとしている。影響を受けた可能性のある顧客には、お詫びと案内をメールで送付した。問い合わせ先は佐川急便CSインフォメーションセンター(0120-28-3449、9時〜17時、土日祝含む)である。具体的な再発防止策の内容は、出典に記載がない。
障害復旧時の変更管理という観点（解釈） 解釈
以下は公表内容からの解釈であり、同社の対応を評価するものではない。本事案は外部からの攻撃ではなく、障害復旧という通常とは異なる作業の中で起きた設定の誤りとして説明されている。通知メールは、宛先と本文に差し込む会員情報が正しく対応して初めて成り立つ。そのため、復旧時にこの対応が崩れると、他の会員の情報が表示される形の情報漏えいになり得ると考えられる。約7万人という規模は、メール配信が一括処理であることと関係している可能性があるが、出典からは断定できない。確認が当日夕方で公表が数日後だった点は、事実確認と影響範囲の調査に一定の時間を要した可能性を示すが、これも推測にとどまる。
対応
- 封じ込め
- 事象確認後に速やかに復旧対応を実施し、現在は正常にサービスを利用できる状態。発生原因を踏まえた対策も実施済みとしている。具体的な対策内容は出典に記載がない。
- 公表の仕方
- 2026年7月19日に公表（共同通信配信記事は18日発表と記載）。影響を受けた可能性のある顧客にはお詫びと案内をメールで送付。問い合わせ先は佐川急便CSインフォメーションセンター（0120-28-3449、9時〜17時、土日祝含む）。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 障害復旧作業は、通常の変更より設定ミスが起きやすく、個人情報の混在につながり得る | 緊急復旧の手順にも通常の変更管理と同等のレビューを課す。通知・帳票系の設定変更は、二人確認と復旧前後の差分確認を必須にする。 |
| 宛先と本文の個人情報が食い違う事象は、送信前に機械的に検知できる | メール生成時に、宛先アドレスと本文内の氏名・メールアドレス・送り状番号が同一の顧客レコードに由来するかを照合する。不一致なら送信を止める整合性チェックを実装する。 |
| 一括配信は誤りが短時間で大量に広がるため、配信量の制御が影響範囲を左右する | 復旧後の配信再開は少数の宛先から段階的に行う。リリースの度に配信内容のサンプルを確認し、異常を検知したら自動で配信を停止する仕組みを用意する。 |
| 攻撃でなくても個人情報の誤表示は起きる。原因の切り分けと公表では、外部攻撃の有無の確認が重要になる | インシデント対応手順に、不正アクセスの有無を確認するログ調査と、システム起因か否かの判定基準を明記する。影響人数は『可能性のある数』と『確認済みの数』に分けて整理する。 |
| 通知メールに載せる項目は最小限にすると、誤表示時の被害を小さくできる | 通知メールに含める個人情報の項目を棚卸しし、氏名やメールアドレスなど本文に必須でないものは載せない設計にする。送り状番号は一部伏せ字にするなど、表示形式も見直す。 |
自組織などでの確認項目
- 自組織の障害復旧手順には、設定変更のレビューや復旧後の動作確認が含まれているか。緊急時にそれらが省略されない仕組みはあるか。
- 自組織で顧客向けに自動送信しているメールや通知のうち、他の顧客の情報が混入し得るものはどれか。送信前の整合性チェックはあるか。
- 誤送信や誤表示が起きた場合、影響人数の『可能性』と『確定』を何日で切り分けて公表できるか。そのための調査手順と体制は決まっているか。
未解明点
- 最初に発生したシステム不具合の内容と、復旧作業で誤った設定の具体的な箇所は、公表されていない。
- 約7万人のうち、実際に他の会員へ情報が表示された人数や、誤送信されたメールの通数は、公表されていない。
- 公表日が7月18日か19日かについて、報道間で差がある。同社の発表資料での正確な日付は、参照した出典からは確認できない。
- 発生原因を踏まえて実施したとされる具体的な対策の内容と実施日は、出典に記載がない。
出典
- 1熊本日日新聞社（共同通信配信）2026-07-18報道本文確認済
- 2セキュリティ対策Lab(合同会社ロケットボーイズ)2026-07-19報道本文確認済
- 3ScanNetSecurity2026-07-22報道本文確認済
- 4物流ニュースのLNEWS2026-07-21報道本文確認済
- 5LOGISTICS TODAY2026-07-21報道本文確認済