ヤマト運輸「クロネコ代金後払いサービス」への不正アクセス（購入者・加盟店情報など約531万件が持ち出し、約11日間停止）
公表日
ヤマト運輸の通販向け後払い決済「クロネコ代金後払いサービス」が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、購入者・お届け先・加盟店の情報が合わせて約531万件持ち出されたと公表されました。サービスは約11日間止まりました。
対象者は？
ネット通販で「クロネコ代金後払い」を使った方の情報が対象です。持ち出しが確認されたのは、利用者情報約526万件（氏名・住所・電話番号・商品明細・申込番号などの社内管理用情報。メールアドレスを含むのは約49万件）、お届け先情報約5万件（氏名・住所・電話番号・送り状番号）、加盟店情報約4,100件（加盟店名・加盟店コード）です。件数は人数ではありません。クレジットカード情報とパスワードは含まれません。第2報で可能性があるとされた請求金額・未払い残高・社員の氏名は、持ち出しが確認されませんでした。
漏えいが確認された方には、会社から個別に連絡するとされています。利用者向けと加盟店向けの問い合わせ窓口が設けられています。
いますぐできること
- 「後払いの代金が未払い」と支払いを急がせるSMS・メール・電話には応じず、手元の払込票や買ったお店の注文履歴で確かめる
- 2026年9月28日以降が期限の払込票は、支払期限が17日延びているので、期限を確認する
- ヤマト運輸や通販のお店を名乗る連絡のリンクは開かず、公式サイトから確認する
何が起きたのか
2026年9月28日、ヤマト運輸は「クロネコ代金後払いサービス」への第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を確認しました。外からのアクセスを制限し、報道によると同日22時28分にサービスを止めました。止まっている間、このサービスを使う通販のお店では後払いを選べなくなりました。宅急便など他のサービスは、ふだんどおり続きました。10月2日には、情報が漏れた可能性があると公表しました。10月9日の13時にサービスを再開し、10月16日の第4報で、情報が持ち出されたことと件数を公表しました。
なぜ起きたのか・なぜ広がったのか
どこから、どのように入られたかは、まだ公表されていません。後払い決済では、名前や住所に加えて、買った商品の明細や社内の管理番号も一緒に管理されているため、こうした情報も対象に含まれました。
いまの状況2026-10-16 時点続報待ち
10月9日にサービスが再開し、9月28日以降が期限の払込票は支払期限が17日延びました。10月16日の第4報で、約531万件の持ち出しが確認されたと公表されました。当初は可能性とされていた請求金額・未払い残高・社員の氏名は、その後の調査で持ち出しが確認されなかったと訂正されています。二次被害は確認されておらず、個人情報保護委員会へ報告済みです。侵入の経路と再発防止策は、まだ発表されていません。
企業として考えたいこと
自社の通販サイトで使っている決済サービスが急に止まったり、決済サービスから顧客情報が持ち出されたりしたら、お客様への案内や、受けた注文の扱いをどうするか決まっているでしょうか。
技術的な要約
ヤマト運輸は2026年9月28日、EC事業者向けの後払い決済「クロネコ代金後払いサービス」への第三者による不正アクセスを確認し、外部からのアクセス制限を行ったうえで同日22時28分にサービスを停止、9月29日に第1報を公表した。10月9日13時に後払いサービスを再開し、9月28日以降が期限の払込票は支払期限を17日間延長した。10月16日の第4報で、利用者情報約526万件（うちメールアドレスを含むのは約49万件）、お届け先情報約5万件、加盟店情報約4,100件の計約531万件が不正に持ち出されたと公表した。第2報で可能性とされた請求金額・債権残高・社員の氏名は持ち出しを確認せず、クレジットカード情報とパスワード情報は含まれず、二次被害は確認されていない。個人情報保護委員会へ報告済み。侵入経路は引き続き非公表。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公式は「第三者による不正アクセス」とのみ説明し、侵入経路・攻撃手法・悪用された脆弱性や認証情報・攻撃対象システムは非公表（第3報および報道で確認）。原因と影響範囲はセキュリティ専門機関の協力を得て調査中。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり クロネコ代金後払いサービスを2026-09-28 22:28（報道）から停止し、2026-10-09 13:00に再開。停止中は加盟店（EC事業者）が決済手段として後払いを提供できず、各店舗が停止を告知（おおいた国東つうはん、最上稲荷山妙教寺、重久本舗、南部美人など）。宅急便など他のサービスは通常どおりで、ヤマト運輸の中核である集配業務は止まっていない。後払いサービスは同社の一事業であり中核業務には当たらないと判断し core_days は null とした（後払いサービス単体の停止は約11日）。期間：2026-09-28 22:28〜2026-10-09 13:00（約11日間）
- データ
- 確定上限 —確定 5,310,000件氏名住所電話メール購入履歴その他（申込番号・受注日・与信番号・送り状番号）取引先情報第4報（10/16）で持ち出しが確認された件数（件数であり人数ではない）：①利用者情報（氏名・住所・電話番号・メールアドレス・商品明細・申込番号/受注日/与信番号などの社内管理用情報）約526万件（2018/10/1〜2026/9/28分、うちメールアドレスを含むのは約49万件）、②お届け先情報（氏名・住所・電話番号・送り状番号）約5万件（2021/2/5〜2026/9/28分）、③加盟店情報（加盟店名・加盟店コード）約4,100件（2018/10/1〜2026/9/28分）。records_confirmed は公表の合計約531万件（526万＋5万＋4,100件の概数合計）。第2報で可能性とされた請求金額・債権残高・社員の氏名は持ち出しを確認せず。クレジットカード情報・パスワード情報は含まれない。二次被害は確認されていない。
- 波及先
- —
- おおいた国東つうはん（後払い停止を告知）
- 最上稲荷山妙教寺（同）
- 重久本舗（同）
- 南部美人（同）
- 金銭影響
- —
- サプライチェーン
- ヤマト運輸がEC事業者（加盟店）に提供する後払い決済基盤が侵害され、加盟店の購入者情報・加盟店名／コードに漏えいの可能性が生じ、加盟店は約11日間後払いを提供できなくなった。影響加盟店数は非公表（規模ゲートG2は判定不能）。
時系列
- 2026-09-28
- 2026-09-28 22:28
- 2026-09-29
- 2026-10-01ScanNetSecurityが報道。第1報時点で漏えいの有無・件数・侵入経路は示されていない5
- 2026-10-02
- 2026-10-02 19:09共同通信が『ヤマト運輸で顧客情報流出か』と報道（範囲は調査中、集配は通常どおり）6
- 2026-10-03同時期に佐川急便（お荷物問い合わせサービス）・日本郵便（郵便局アプリ）でも不正アクセスが公表され、報道が物流3社を並べて整理。共通の攻撃者・侵入口は公表されていない7
- 2026-10-09 13:00第3報：安全に利用できる環境が整ったとしてサービスを再開。9/28以降に期限を迎える払込票の支払期限を17日間延長（例：10/1期限→10/18）。漏えいの可能性・範囲は引き続き調査中1
- 2026-09-25 15:00日本郵便で、郵便局アプリとは別に、国際郵便物の「調査請求Web受付サービス」のサーバが外部から不正アクセスを受けた可能性が判明（同時期の他社事案）11
- 2026-09-29日本郵便が「郵便局アプリ」への不正アクセスにより19人分・69件の顧客情報が不正取得されたと公表（同時期の他社事案）11
- 2026-09-30佐川急便が「お荷物問い合わせサービス」への第三者による不正アクセスを発表（第1報）。ヤマトとの関連は公表されていない15
- 2026-10-01
- 2026-10-16
- 2026-09-25 22:30日本郵便がゆうIDと郵便局アプリの緊急メンテナンスを実施し、9月26日にサービスを再開（同時期の他社事案）11
技術解説
公表された経緯：停止から持ち出し確認まで 事実
ヤマト運輸は2026年9月28日に第三者による不正アクセスを確認し、外部からのアクセス制限を行った。報道によると同日22時28分にサービスを停止し、9月29日に第1報を出した。10月2日の第2報では、購入者・加盟店・従業員の情報が漏えいした可能性があるとし、クレジットカード情報とパスワードは含まれないとした。10月9日13時の第3報でサービスを再開し、9月28日以降が期限の払込票は支払期限を17日間延長した。10月16日の第4報で、セキュリティ専門機関と調べた結果、情報の一部が不正に持ち出されたと公表した。個人情報保護委員会への報告済みも示された。
持ち出しが確認された情報の内訳 事実
第4報で持ち出しが確認されたのは3区分で、件数は人数ではなく件数である。利用者情報は約526万件（2018年10月1日〜2026年9月28日分）で、氏名・住所・電話番号・メールアドレス・商品明細・申込番号や受注日や与信番号などの社内管理用情報を含み、うちメールアドレスを含むのは約49万件。お届け先情報は約5万件（2021年2月5日〜2026年9月28日分）で、氏名・住所・電話番号・送り状番号。加盟店情報は約4,100件（2018年10月1日〜2026年9月28日分）で、加盟店名と加盟店コード。合計は約531万件。第2報で可能性とされた請求金額・債権残高・社員の氏名は、持ち出しを確認していない。カード情報とパスワード情報は含まれず、二次被害は確認されていない。
当初説明との違い：可能性から確定へ、範囲の訂正 事実
10月2日の第2報の時点では、漏えいは「可能性」とされ、件数も示されていなかった。10月16日の第4報で持ち出しが確定し、件数が初めて公表された。同時に、第2報で可能性があるとした請求金額・債権残高・社員の氏名は持ち出しを確認しなかったと訂正された。一方、第2報では含まれる情報として挙がっていなかった送り状番号を含むお届け先情報が、第4報で持ち出し対象として示された。侵入経路・攻撃手法・不正アクセスの開始時期は、第4報後も公表されていない。この点は公表情報の範囲で確認できる事実である。
後払いの決済データが持つ性質（解釈） 解釈
後払い決済のデータは、氏名・住所・連絡先に、購入した商品の明細や与信番号などの社内管理用の番号が結びついている点で、通常の会員名簿とは性質が異なる。購入履歴の一部を知る者が、実在の取引を装って支払いを促す連絡を作ることができるため、受け手は本物の連絡と見分けにくくなる。請求金額と債権残高は持ち出しが確認されなかったが、商品明細と与信番号が含まれるため、偽の督促に使われる余地は残る。ヤマト運輸が不審な連絡への注意喚起を続け、払込票の期限を一律延長した対応は、停止による延滞を避けるとともに、期限切迫を口実にした偽の督促を弱める効果もあったと考えられる。ただし後者は推測である。
停止が加盟店に波及した構造（解釈） 解釈
クロネコ代金後払いは、EC事業者が購入手続きに組み込む決済手段で、与信と請求・回収をヤマト側が担う。基盤が止まると、加盟店は自社の環境に問題がなくても後払いを選択肢から外し、停止を告知し、与信済みで未出荷の注文の扱いを決める必要に迫られる。実際に複数の加盟店が自社サイトで停止を告知した。加盟店名と加盟店コードも持ち出されたため、加盟店やヤマトを名乗る連絡が増える可能性にも備える必要がある。影響を受けた加盟店の総数は公表されていない。後払いサービスは同社の一事業で、集配業務は止まらなかったため、中核業務の停止日数は判定していない。
同時期の物流他社の事案の位置づけ 事実
同じ時期に、日本郵便の郵便局アプリでは19人分・69件の顧客情報の不正取得が、佐川急便のお荷物問い合わせサービスでは不正アクセスと、約100日分の荷物の送り主・届け先情報の流出の可能性が、それぞれ公表された。報道はこれらを物流3社として並べて整理している。ただし、共通の攻撃者や共通の侵入口は公表されておらず、ヤマトとの関連も示されていない。本件の分析では、3社の事案を同一の攻撃とは扱わず、同時期に起きた別々の公表として扱う。
対応
- 封じ込め
- 2026-09-28に外部からのアクセス制限など必要な対策を実施し、同日22:28（報道）にサービス停止。セキュリティ専門機関の協力を得て原因・影響範囲を調査。安全に利用できる環境が整ったとして2026-10-09 13:00に再開。具体的な技術的措置・再発防止策は非公表（情報セキュリティ強化と再発防止策を検討中とする）。
- 公表の仕方
- 9/29第1報（不正アクセスとサービス停止、調査中）、10/2第2報（購入者・加盟店・従業員の3区分で漏えいの可能性、カード・PWは含まず）、10/9第3報（再開、支払期限17日延長）、10/16第4報（調査結果：持ち出しの確定と件数、請求金額・債権残高・社員氏名は持ち出し確認せず、個人情報保護委員会へ報告済み）。第1報・第2報はPDF（画像）で公開。侵入経路は引き続き非公表。加盟店向け・利用者向けの問い合わせ窓口を開設。
- 当局対応
- 個人情報保護委員会（報告済み）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 後払い決済の購入明細や与信番号は、偽の督促の材料になる | 督促・支払案内は払込票と会員ページに限定し、SMS・メールで支払URLを送らない方針を平時から公表する。漏えい対象者の払込票番号の再発行と旧番号の無効化を検討し、旧番号での支払い試行をログで検知する。 |
| 決済基盤の停止が、加盟店の購入手続きに直接響いた | 加盟店側は決済手段をフィーチャーフラグで即時に無効化でき、サーバ側でも停止中の決済手段での注文を拒否する。与信済みで未出荷の注文は、出荷保留・別決済への切替依頼を手順書にしておく。基盤側はステータスページとWebhookで停止を即時に通知する。 |
| 侵入経路が非公表のため、加盟店は自社側の認証情報が影響範囲かを判断しにくい | 基盤事業者は公表時に、加盟店のAPIキーや管理画面パスワードが影響範囲に含まれるかを明記し、含まれる可能性があれば鍵の入れ替え手順を併せて案内する。加盟店側は連携APIキーを無停止で入れ替えられる構成にし、定期的に入れ替える。 |
| 加盟店コードや加盟店名など、業務上の識別子も持ち出し対象になった | 加盟店コードを認証要素として使わない。コードと電話番号だけで手続できる窓口をなくし、登録済み連絡先への折り返しを必須にする。外部向け文書に担当者名を出さず、役割名で記載する。 |
| 停止中の支払期限の一律延長が、延滞と偽督促の口実を減らした | 決済停止時の期限延長ルール（停止日数＋α）と遅延損害金の免除条件を事前に決める。再開告知と同時に、具体例（10月1日期限は10月18日）付きで周知する。 |
| 第2報で可能性とした範囲を、調査後に訂正した | 初報では可能性のある範囲を広めに示し、調査完了後に確認できた項目と確認しなかった項目を分けて再掲する。社内の公表テンプレートに「当初の説明からの訂正点」の欄を設ける。 |
自組織などでの確認項目
- 自社のECが使う外部決済（後払い・カード・コード決済）が10日間止まった場合、購入手続きから外すまで何分かかるか。与信済みで未出荷の注文はどう扱うか、手順は決まっているか。
- 決済事業者が侵害されたとき、自社が持つその事業者のAPIキーや管理画面アカウントを、誰がいつ入れ替えるかは決まっているか。実際に入れ替えられる構成になっているか。
- 購入履歴や請求情報が漏れた顧客に対し、本物の督促と偽の督促を見分ける方法をどう伝えるか。自社の督促の連絡手段（SMS・メール・払込票）は、その説明に耐えるか。
- 自社の取引先名・取引先コード・担当者名が外部に出た場合に、取引先を名乗る連絡を本物かどうか確かめる手順（登録済み番号への折り返しなど）があるか。
未解明点
- 侵入経路・攻撃手法（脆弱性、管理画面やAPI、認証情報の窃取、委託先経由など）と、不正アクセスの開始時期は、第4報後も公表されていない。
- 影響を受けた加盟店の数と、加盟店のAPIキーや管理画面アカウントが影響範囲に含まれたかは、公表されていない。
- 持ち出された利用者情報の件数が重複を除くと何人分にあたるのか、公表されていない。
- 同時期に公表された佐川急便・日本郵便の事案との関係の有無は、公表されていない。
- 具体的な再発防止策と、個人情報保護委員会による対応の状況は、公表されていない。
出典
- 1ヤマトホールディングス／ヤマト運輸2026-10-09公式本文確認済
- 2ヤマト運輸2026-09-29公式未確認
- 3ヤマト運輸2026-10-02公式未確認
- 4セキュリティ対策Lab（Rocket Boys）2026-09-29報道本文確認済
- 5ScanNetSecurity2026-10-01報道本文確認済
- 6共同通信（OANDA Lab転載）2026-10-02報道本文確認済
- 7セキュリティ対策Lab（Rocket Boys）2026-10-03報道本文確認済
- 8一創（テックブログ）2026-10-08研究者本文確認済
- 9
- 10セキュリティ対策Lab2026-09-29報道本文確認済
- 11セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-03報道本文確認済
- 12セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-09報道本文確認済
- 13LOGISTICS TODAY2026-10-09報道本文確認済
- 14ちんぱんブログ2026-10-07報道本文確認済
- 15エックスニュース＠ブログ2026-10-07報道本文確認済
- 16ECのミカタ2026-10-05報道本文確認済
- 17ASCII.jp English Edition2026-09-29報道本文確認済