佐川急便は10月23日、同社の「お荷物問い合わせサービス」への不正アクセスで流出した可能性のある個人情報が、最大約5323万件に上ると公表した。あわせて、9月30日から停止していたインターネット貨物の荷物問い合わせを同日再開した。件数には重複が含まれ、同社は対象の人数を示すものではないとしている。
背景
同社が不正アクセスを確認したと公表したのは9月30日。翌10月1日に個人情報が流出した可能性を明らかにし、関連サービスを順次停止した。10月23日の発表は第5報にあたり、調査で判明した最大件数と、停止していたサービスの復旧状況をまとめている。
流出した可能性があるのは3種類のデータである。1つは6月21日から9月30日までの送り状データで、依頼主と届け先の氏名、住所、電話番号を含む。2つめは貨物運送契約を結ぶ顧客のリストで、氏名、住所、電話番号が対象となる。3つめはウェブサービス「スマートクラブ」の登録情報で、氏名、住所、電話番号に加えてメールアドレスと会員IDが含まれる。手書きの送り状は対象外で、クレジットカード情報とパスワードは含まれないとしている。
事業者への影響
送り状データが対象に含まれる点は、通販事業者にとって重い。依頼主は出荷した店舗であり、届け先はその顧客である。自社のシステムが破られていなくても、顧客の氏名・住所・電話番号が配送事業者側から流出した可能性があり、説明を求められる立場になる。
対応は3つに分けて考えたい。第1に、6月21日から9月30日に佐川急便で出荷した履歴の洗い出しである。第2に、顧客からの問い合わせ窓口の準備だ。同社は専用コールセンター（0120-28-3449、9時から17時、土日祝日を含む）を設けているが、顧客がまず連絡するのは購入した店舗である。第3に、なりすまし対策の告知だ。同社は同社を装った不審なメールやSMS、電話への注意を呼びかけている。再配達や住所変更を促してリンクを開かせる手口は、送り状の情報が漏れていれば本物らしさが増す。
停止中のサービスも確認しておきたい。10月23日時点で停止しているのは次のとおり。
- インターネット貨物のお荷物問い合わせAPI
- 飛脚宅配便受付、飛脚往復便受付、飛脚往復便（ゴルフ）受付
- 商品の返金に関するサービス
- お届け先の変更（持ち戻り前・持ち戻り後）
- 回収くん
APIを使って自社サイトに配送状況を表示している場合は、顧客への代替の案内方法が必要になる。受付系のサービスを使っている場合も、当面の運用を決めておきたい。
今後の見通し
同社は対象となる顧客へ順次連絡するとしており、個別に連絡できない場合は今回の公表をもって通知に代えるとしている。報道によれば、最終的な報告は荷主企業と連名で行う予定とされる。これが実施されれば、通販事業者が自社名で顧客に通知を出す場面が生じる可能性がある。ただし連名の範囲や時期は確定していない。
二次被害については、10月23日時点で確認されていないとしている。停止中のサービスの再開時期は示されておらず、順次公表されるとみられる。
出典
- 佐川急便「『お荷物問い合わせサービス』の再開および個人情報の流出に関する調査状況について（第5報）」2026年10月23日 https://www2.sagawa-exp.co.jp/information/detail/430/
- 佐川急便「よくあるご質問（FAQ）｜『お荷物問い合わせサービス』への不正アクセスについて」 https://www2.sagawa-exp.co.jp/information/detail/425/
- Impress Watch「佐川急便、不正アクセスの個人情報流出は最大5323万件」2026年10月23日 https://www.watch.impress.co.jp/docs/news/2150818.html
- LNEWS「佐川急便／個人情報流出最大5323万件、第5報で『お荷物問い合わせ』再開」2026年10月23日 https://www.lnews.jp/2026/10/s1023703.html
