佐川急便「お荷物問い合わせサービス」への不正アクセス（約100日分の送り主・届け先情報等が流出の可能性、件数調査中）
公表日
佐川急便のWebの「お荷物問い合わせサービス」が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、約100日分の荷物の送り主・届け先の氏名・住所・電話番号などが流出した可能性があります。件数はまだ調査中です。
対象者は？
2026年6月下旬以降に佐川急便で送られた荷物の送り主と届け先の方です。佐川の会員でなくても、届け先として登録されていれば対象です。運賃の契約をしている顧客と、スマートクラブの会員（メールアドレスと会員IDを含む）も対象です。件数は公表されておらず、流出は確定していません。クレジットカード情報・パスワード・銀行口座の情報は含まれないとされています。
対象かどうかを個人で調べる方法は示されていません。範囲や問い合わせ先は、公式のお知らせとよくある質問（FAQ）で確認でき、専用の問い合わせ窓口も開設されています。
いますぐできること
- 佐川急便を名乗る「不在のお知らせ」や「再配達」のSMS・メールのリンクは開かない。荷物の状況は送り状番号を使って公式の窓口で確認する
- 名前や住所を正しく言い当てる電話でも、支払いや個人情報を求められたら応じない
- スマートクラブ会員の方は、登録したメールアドレスに届く不審なメールに注意する
何が起きたのか
2026年9月30日、佐川急便はWebの「お荷物問い合わせサービス」に第三者が不正にアクセスしたことを確認し、アクセスを一部制限しました。翌10月1日、約100日分の荷物の送り主・届け先の情報などが流出した可能性があると公表しました。同じ日に、荷物の問い合わせの仕組み（API）を含むWebサービス9種類を止め、専用の窓口を開設しました。集荷と配達はこれまでどおり続いています。荷物の問い合わせの仕組みを使っていた他社のサービスでも、配送状況が表示されないなどの影響が出ました。
なぜ起きたのか・なぜ広がったのか
どこから、どのように入られたかは、まだ公表されていません。荷物の届け先の情報も対象のため、佐川と直接の関係がなく、通販で買い物をしただけの方も含まれます。
いまの状況2026-10-05 時点続報待ち
Webサービス9種類は止まったままで、再開の時期は発表されていません。第三者機関と一緒に範囲と原因を調べていて、個人情報保護委員会に報告し、警察にも相談しています。対象の件数と侵入の経路は、まだ発表されていません。
企業として考えたいこと
自社のお客様の住所や電話番号を、配送会社などの取引先がどれだけ持っているでしょうか。取引先で漏えいが起きたとき、お客様にどう説明するかを考えておきましょう。
技術的な要約
佐川急便は2026年9月30日、Webの『お荷物問い合わせサービス』に第三者による不正アクセスを確認し、アクセスを一部制限して調査を開始したと公表した（第1報）。10月1日の第2報で、9月30日から遡って約100日分（FAQでは6月下旬以降の取扱分とされる）の荷物の送り主・届け先の氏名（会社名・担当者名）・住所・電話番号、運賃契約顧客の情報、スマートクラブ会員のメールアドレス・会員IDなどが外部に流出した可能性があるとし、追跡APIを含むWebサービス9種を停止、同日専用窓口を開設した。クレジットカード情報・パスワードは含まれないとしている。対象件数・侵入経路・原因は第三者機関と調査中で未公表、集荷・配達は通常どおり継続している。報道によればサービス再開時期は未定で、追跡API停止の影響で楽天モバイルの配送状況表示が更新されないなど取引先側にも影響が出た。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公式表現は『お荷物問い合わせサービス』への『第三者による不正アクセス』（第1報、報道経由で確認）。侵入経路・手法（Webアプリの脆弱性、APIの悪用・大量照会、認証情報の流用等）、不正アクセスの開始時期は未公表で、第三者機関と調査中。流出可能性のあるデータが約100日分の荷物の送り主・届け先に加え、運賃契約顧客情報やスマートクラブ会員情報にまで及ぶことから、公開Webサービスの背後にある荷物・顧客データベースへ到達された可能性があるが、これは推測である。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- あり 9/30にお荷物問い合わせサービスへのアクセスを一部制限。10/1にWebサービス9種（インターネット貨物お問い合わせ、お荷物問い合わせAPI、飛脚宅配便受付、飛脚往復受付、飛脚往復（ゴルフ）受付、代金回収返金サービス、配達先変更2種、回収くん）を停止。集荷・配達は通常どおりで、電話での集荷依頼は受付。追跡API停止により、楽天モバイルが『my 楽天モバイル』の配送状況が更新されない場合があると告知（10/5）。期間：2026-10-01からWebサービス停止、10/8時点で再開時期未定（報道）
- データ
- 調査中上限 —確定 —氏名住所電話メール会員ID取引先情報件数は調査中で未公表。流出の『可能性』で、確定はしていない。対象は①9/30から遡って約100日分（累計）の荷物の送り主・届け先：氏名（法人は会社名・担当者名）、住所、電話番号（非会員でも届け先として登録されていれば対象）、②運賃契約顧客（法人・個人）：会社名/氏名・担当者名、住所、電話番号、③スマートクラブ会員：氏名/会社名・担当者名、住所、電話番号、メールアドレス、スマートクラブ会員ID。クレジットカード情報・パスワードは含まない（公式、報道経由）。issohによれば10/5のFAQで銀行口座情報も含まないこと、約100日分は2026年6月下旬以降の取扱分であることを説明。品名・配達履歴を含むかは未確認。悪用の事実は把握していないとされる。『取引先情報』は運賃契約顧客（法人）情報を指す。
- 波及先
- —
- 楽天モバイル：佐川の対応メンテナンス（追跡API停止）により『my 楽天モバイル』の配送状況が更新されない場合があると10/5に告知（jetstream報道）
- 流出可能性のある届け先情報には、佐川に配送を委託する通販事業者等の顧客（非会員の荷受人）が含まれる
- 金銭影響
- —
- サプライチェーン
- 侵害の起点は佐川急便自身のWebサービスで、委託先経由の公表はない。ただし佐川は荷主（通販事業者等）から配送を受託する立場であり、流出可能性のある届け先情報は荷主の顧客情報でもある。荷主側での公表や、追跡API停止による楽天モバイルの表示影響はあるが、データ漏えいの他組織への波及として公表された事例は確認できなかったため『なし』とした（続報次第で『起点』への変更を要検討）。
時系列
- 2026-06
- 2026-07（別事案）スマートクラブで配達通知メールに他の利用者の氏名・メールアドレス・問い合わせ送り状番号が表示される誤表示が発生（約7万人、障害復旧時の設定ミスで攻撃ではない）6
- 2026-09-30
- 2026-10-01
- 2026-10-01
- 2026-10-02
- 2026-10-03ヤマト運輸（クロネコ代金後払い、9/28確認）、日本郵便（郵便局アプリ・ゆうID、9/25）と物流大手3社で不正アクセスが相次いだと報道。共通の攻撃者・侵入経路を示す根拠は公表されていない8
- 2026-10-05楽天モバイルが、佐川のメンテナンスにより配送状況が更新されない場合があると告知10
- 2026-10-05
技術解説
公表内容：何が分かっていて何が分かっていないか 事実
9/30の第1報は『お荷物問い合わせサービス』への第三者による不正アクセスの確認とアクセス制限のみで、翌10/1の第2報で流出の可能性が示された。対象は約100日分の荷物の送り主・届け先の氏名・住所・電話番号、運賃契約顧客情報、スマートクラブ会員のメールアドレスと会員IDまで及ぶ。一方、侵入経路、手法、不正アクセスの開始日時、件数、実際に持ち出されたか否かは10/10時点で公表されていない。犯行声明やリークサイトへの掲載も確認できなかった。公表時期は確認当日の第1報、翌日の第2報・窓口開設と早いが、エンジニアが原因を学べる技術情報はまだない段階である。
なぜ『追跡照会』から広範なデータに及ぶのか（解釈） 解釈
追跡照会は本来、送り状番号を入力すると配送状況を返すだけの機能で、氏名・住所・電話番号を大量に返す設計ではないはずである。それでも約100日分の送り主・届け先、契約顧客、会員情報まで可能性に含めたことは、①照会サービスが参照する荷物DBや顧客DBに攻撃者が到達し得た（サーバ侵害やSQLインジェクション等）、②照会APIの認可不備や連番の送り状番号の総当たりで大量取得された、③調査で範囲を絞り込めず保守的に最大範囲を示した、のいずれかを示唆する。100日という区切りは照会可能期間や照会用DBの保持期間と一致している可能性もある。いずれも推測であり、公式には侵入経路は明らかにされていない。
規模の見込み（⑥d）と荷受人という『非会員の被害者』 解釈
件数は調査中だが、大手宅配事業者の全国の荷物約100日分の送り主・届け先が対象であり、件数が公表されれば100万件を大きく上回る見込みが高い（推測、件数の公表なし）。特徴は、佐川の会員でも契約者でもない荷受人が、通販で買い物をしただけで対象に含まれる点である。荷受人は佐川と直接の関係がなく、通販事業者（荷主）にとっても自社の顧客情報が配送委託先から漏れた形になる。宅配便を装うSMSフィッシングは以前から多く、実在の荷物と氏名・住所・電話番号が結び付いた情報は、偽の不在通知や再配達詐欺の精度を高める。佐川自身も便乗する不審なメール・SMS・電話への注意を呼び掛けている。
追跡APIの停止が取引先の業務に波及 事実
佐川は10/1にお荷物問い合わせAPIを含むWebサービス9種を停止し、10/8時点の報道でも再開時期は未定とされる。集荷・配達そのものは継続しているが、飛脚宅配便のWeb受付、配達先変更、代金回収返金サービス、回収くんといった顧客向け機能が止まった。追跡APIは通販事業者や通信事業者が自社サイトの配送状況表示に使っており、楽天モバイルは『my 楽天モバイル』で配送状況が更新されない場合があると告知した。外部公開APIを止めると、自社の画面だけでなく、APIを組み込んだ取引先のサービスにも障害として現れる。封じ込めとしてAPIを止める判断の影響範囲を、平時に把握しておく必要がある。
物流大手で相次いだ不正アクセスと同社の直前の事案 事実
9月下旬には日本郵便（9/25、郵便局アプリ・ゆうID、19人分69件の取得を確認）、ヤマト運輸（9/28、クロネコ代金後払い）でも不正アクセスが公表され、報道は物流3社で相次いだと伝えた。ただし共通の攻撃者・侵入経路・インフラを示す公表はなく、同一キャンペーンとみなす根拠はない。また佐川では2026年7月にスマートクラブで約7万人分の他人の情報が配達通知メールに表示される誤表示が起きているが、障害復旧時の設定ミスによるもので攻撃ではなく、本件とは別事案として扱われている。
対応
- 封じ込め
- 9/30に不正アクセスを確認しお荷物問い合わせサービスへのアクセスを一部制限、10/1に追跡APIを含むWebサービス9種を停止（集荷・配達と電話集荷受付は継続）。第三者機関と範囲・原因を調査中。再開時期は未定でWebサイトで告知するとしている（報道）。
- 公表の仕方
- 9/30第1報（不正アクセス確認・アクセス制限）、10/1第2報（流出の可能性とデータ項目、停止サービス）、10/1第3報（専用窓口0120-28-3449）、10/5頃FAQ（対象期間は6月下旬以降の取扱分、口座情報含まず、個人情報保護委員会報告・警察相談）。件数・原因は未公表。公式ページはJavaScript描画のため本調査では本文を直接確認できず、内容は報道経由。
- 当局対応
- 個人情報保護委員会：報告済み（10/5頃のFAQで説明、issoh報道経由・公式本文未確認）
- 警察：相談済み（同上）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 追跡照会のような公開Webサービスの背後で、広範な個人データに到達し得た可能性がある | 公開照会サービスは参照専用のリードレプリカや必要項目のみを持つ照会用DBに接続し、氏名・住所・電話番号は返却しない（またはマスキング）設計にする。本体の荷物DB・顧客DBへのネットワーク到達をallow-listで遮断し、DBアクティビティ監視で大量読み出しを検知する |
| 送り状番号を鍵とする照会APIは列挙・大量照会に弱い | APIキー単位・IP単位のレート制限と照会件数上限、連続番号の総当たりパターン検知を実装し、個人情報を返すエンドポイントは送り状番号に加えて電話番号下4桁等の第二要素や認証済みセッションを要求する。WAF/ボット対策でスクレイピングを検知する |
| 荷受人など直接の契約関係がない人の情報を長期間保持している | 照会可能期間を過ぎた荷物の送り主・届け先情報はオンライン系から削除・仮名化してアーカイブへ移し、公開サービスから到達可能なデータを最小化する。保持期間をデータ種別ごとに定義し自動削除ジョブで強制する |
| 封じ込めのためのAPI停止が、取引先のサービス障害として波及した | 外部公開APIの利用者台帳（企業・用途・連絡先）を整備し、停止時の一斉通知手順と代替手段（ステータス配信の縮退モード、Webhook停止の事前告知）を用意する。重大インシデント時にAPIを読み取り専用・最小項目で縮退運転できる機能フラグを設けておく |
| 宅配事業者を装うフィッシングに実データが悪用されるリスク | 公表と同時に、公式からSMSでURLを送らない等の連絡方針を明示し、送信ドメイン認証（SPF/DKIM/DMARC p=reject）とSMSの送信元表示を徹底。荷主（通販事業者）向けに、自社顧客への注意喚起文面を提供する |
自組織などでの確認項目
- 自社の公開Webサービス・APIのうち、1回のリクエストで個人情報を返すものはどれか。その識別子（注文番号・送り状番号等）は推測・列挙可能ではないか。
- 公開サービスが侵害された場合、攻撃者が到達できるデータベースはどこまでか。照会用に必要最小限のデータだけを切り出した構成になっているか。
- 自社が外部APIを止めたとき、どの取引先のどの画面・業務が止まるかを一覧で把握しているか。逆に、自社が依存している配送・決済等の外部APIが止まったときの縮退運転はあるか。
- 委託先（配送業者等）から自社顧客の情報が漏れた場合、自社は顧客に何を通知し、問い合わせにどう対応するか。委託契約にインシデント時の情報提供義務はあるか。
未解明点
- 侵入経路・手法（Webアプリの脆弱性、APIの悪用、認証情報の流用等）と不正アクセスの開始時期
- 流出可能性のある件数（送り主・届け先、運賃契約顧客、スマートクラブ会員それぞれ）と、実際の持ち出しの有無
- 『約100日分』が照会可能期間や照会用DBの保持期間と一致するのか、品名・配達履歴を含むか
- 攻撃者の正体・犯行声明・リークの有無、同時期のヤマト運輸・日本郵便の事案との関連
- Webサービス9種の再開時期と、荷主（通販事業者等）への影響・通知
- 個人情報保護委員会・国土交通省の対応
出典
- 1佐川急便2026-09-30公式未確認
- 2佐川急便2026-10-01公式未確認
- 3佐川急便2026-10-01公式未確認
- 4佐川急便2026-10-05公式未確認
- 5INTERNET Watch2026-10-02報道本文確認済
- 6セキュリティ対策Lab（Rocket Boys）2026-10-01報道本文確認済
- 7LOGISTICS TODAY2026-10-02報道本文確認済
- 8セキュリティ対策Lab（Rocket Boys）2026-10-03報道本文確認済
- 9issoh2026-10-08報道本文確認済
- 10jetstream2026-10-06報道本文確認済
- 11ECのミカタ2026-10報道未確認