ヤマト運輸、佐川急便、日本郵便の3社が、9月29日から10月2日にかけて相次いで不正アクセスの発生を公表した。ヤマト運輸は「クロネコ代金後払いサービス」を停止し、佐川急便は荷物追跡とそのAPIを含む8つのサービスを停止している。日本郵便は郵便局アプリで19人分69件の顧客情報が不正に取得されたと発表した。集荷と配達は3社とも通常どおりとしている。
背景
日本郵便の発表によると、9月25日22時30分ごろに不正アクセスを把握して緊急メンテナンスに入り、9月26日に復旧した。取得されたのは19人分の69件で、氏名、住所、生年月日、連絡先、メールアドレスに加え、アプリのアドレス帳に登録された情報、送り状の送り主・届け先の情報と追跡番号が含まれる。不正に利用された兆候は確認されていないとしている。公表は9月29日である。
ヤマト運輸は9月28日に不正アクセスを検知し、クロネコ代金後払いサービスを停止した。10月2日付の第2報では、漏えいの可能性がある情報として、氏名、住所、電話番号、メールアドレスに加え、与信番号、請求金額、債権残高、商品明細を挙げている。加盟店の名称とコード、従業員の氏名も対象に含まれる可能性があるとしている。クレジットカード情報とパスワードは含まれない。
佐川急便は9月30日に不正アクセスを確認し、10月1日に公表した。業界紙の報道によれば、停止したのはウェブの荷物問い合わせ、同サービスのAPI、宅配便の受付、集荷依頼や受取人変更の各機能などで、流出の可能性がある情報は約100日分の送り主・届け先の氏名、住所、電話番号、契約企業の情報、スマートクラブ会員のIDとメールアドレスに及ぶ。クレジットカード情報とパスワードは含まれないとしている。
3社の発表には、侵入の手口に関する記載がない。
事業者への影響
荷物を出す側として最初に効くのは決済と配送照会である。クロネコ代金後払いサービスを使っているEC事業者は、カート上の決済手段から外す判断が必要になる。代替の後払いサービスに切り替える場合、加盟店審査に日数がかかる。注文確定後に決済手段だけが使えない状態は、キャンセル率を直接押し上げる。
佐川急便の荷物問い合わせAPIを自社ECのマイページや問い合わせ対応に組み込んでいる場合、配送状況の表示が止まる。顧客からの「荷物はどこか」という問い合わせは、止まった期間に比例して増える。カスタマーサポートの人員配置と、注意書きの掲示を先に決めておきたい。
もう一つは二次被害である。流出の可能性がある情報には、届け先の氏名・住所・電話番号と追跡番号が含まれる。配送通知を装ったSMSやメールは、荷物を待っている人に届くと開かれやすい。自社の配送通知メールの差出人アドレスと文面を顧客に周知し、短縮URLを使わない運用に切り替えることが有効である。
ヤマト運輸の発表では、加盟店の名称とコードも対象に含まれる可能性があるとされている。影響を受けるのは消費者だけではない。
今日からできることは3つある。
- 後払い決済の代替手段と、切り替えにかかる日数を確認する
- 配送状況の照会が止まった場合の問い合わせ対応と掲示文を用意する
- 配送通知を装う詐欺への注意喚起を、自社の顧客向け文面として作る
今後の見通し
再開の時期は3社とも公表していない。ヤマト運輸は調査の進展に応じて知らせるとしている。佐川急便と日本郵便についても、追加の報が出る可能性がある。影響範囲が広がる場合、個別通知の対象や件数が改まることもあるとみられる。
出典
- ヤマトホールディングス「『クロネコ代金後払いサービス』への不正アクセスについて（第2報）」（2026年10月2日）：https://www.yamato-hd.co.jp/important/info_260929_1.html
- 日本郵政・日本郵便「郵便局アプリへの不正アクセスについて」（2026年9月29日、PDF）：https://files.japanpost.jp/assets/34d9d11432734cfaa759e78fe395b688/c6b030844cf0412ab0d48f8bae7b3a75/20260929_01_01.pdf
- INTERNET Watch「佐川急便『お荷物問い合わせサービス』不正アクセスにより情報流出の可能性、ウェブの荷物問い合わせなどを停止中」（2026年10月2日）：https://internet.watch.impress.co.jp/docs/news/2145343.html
- INTERNET Watch「佐川急便『お荷物問い合わせサービス』に不正アクセス、一部利用を制限中」（2026年10月1日）：https://internet.watch.impress.co.jp/docs/news/2144755.html
