【インシデント速報】2026年10月1日｜ヤマト運輸「クロネコ代金後払い」停止・オズモール約44万件漏えい・ニッポンレンタカーで免許証情報
公開 更新
9月下旬、会員情報や決済情報を預かるWebサービス・アプリへの不正アクセス公表が立て続けに出た。
ヤマト運輸は後払い決済を止め、オズモールは最大約44万7千件のメールアドレスが漏えいした可能性、ニッポンレンタカーでは運転免許証番号まで閲覧のおそれが出ている。
自社の会員データベース・本人確認書類・外部決済サービスの管理状況を、今日の点検項目に加えたい。
① ヤマト運輸「クロネコ代金後払いサービス」— 不正アクセスでサービス停止、宅急便は通常提供
ヤマト運輸は2026年9月29日、通信販売などで使われる「クロネコ代金後払いサービス」に不正アクセスがあったと公表した。同社によると不正アクセスを9月28日に確認し、同日22時28分にサービスを停止している。
漏えいした情報の種類や件数は、公表時点では「調査中」とされ、具体的な被害は確定していない。同社は外部からのアクセス制限などの対策を講じたうえで、セキュリティ専門機関と協力して原因と影響範囲の調査を進めている。宅急便をはじめとする他のサービスは通常どおり提供されている。
後払い決済は、通販サイト側が外部の決済サービスに処理を委ねる形で成り立っている。その決済サービスが止まれば、利用している多数の通販事業者が同時に「後払いを選べない」状態に陥る。被害の有無が未確定のうちからサービス全体を止めた今回の判断は、影響範囲を広げないための初動として参考になる。
中小企業への影響
自社ECで後払い・決済代行・予約など外部サービスを使っている場合、その事業者が攻撃を受けると、自社に落ち度がなくても売上や出荷が止まる。「外部に預けているから安全」ではなく、委託先の障害が自社の事業停止に直結するリスクとして捉える必要がある。
推奨対応
- 決済・物流など外部サービスが止まったときの代替手段や手動運用の手順を、あらかじめ文書化しておく
- 委託先からインシデント連絡を受ける窓口と連絡ルートを事前に確認し、担当者不在時の代理も決めておく
- サービス停止を顧客に知らせる告知文のテンプレートを用意し、発生時すぐ出せるようにする
② スターツ出版「オズモール」— 海外からの不正アクセスで最大約44万7千件のメールアドレスが漏えいの可能性
女性向け情報サイト「オズモール」を運営するスターツ出版は、2026年9月27日、同サイトへの不正アクセスにより会員情報が漏えいした可能性があると公表した。不正アクセスは9月26日に確認されている。
漏えいした可能性があるのは、会員のメールアドレス最大447,610名分と、一部の氏名および住所（都道府県まで）。同社は「海外からの大量の不正アクセス」があったと説明しており、該当ページへのアクセスを一時停止したうえで原因を特定し、不正アクセスを遮断するシステム修正を実施してサービスを再開した。プログラム改ざん等の被害は確認されていないとして、調査を継続している。
約44万件という規模は、会員制サイトが一度破られると被害がいかに大きくなるかを示している。流出がメールアドレス中心であっても、それを足がかりにしたなりすましメールやフィッシングの二次被害が起こりやすく、「パスワードは漏れていないから大丈夫」とは言い切れない。
中小企業への影響
会員登録やメルマガの仕組みを持つ企業は、規模にかかわらず同じ手口の標的になる。大量アクセスによる会員情報の抜き取りは、特別な内部情報がなくても外部から仕掛けられる。漏れたメールアドレスは、自社や取引先をかたる詐欺メールの送り先として悪用される。
推奨対応
- WAF（Webアプリケーションファイアウォール）や不正アクセス検知を導入し、ログイン試行回数の制限（レート制限）をかける
- 海外IPや深夜帯からの異常なアクセスがないか、アクセスログを定期的に確認する体制をつくる
- 会員データベースは閲覧できる担当者を絞り、保持している項目と期間を棚卸しして不要な情報は持たない
③ ニッポンレンタカー — アプリへの不正アクセスで会員41名、運転免許証番号も閲覧のおそれ
ニッポンレンタカーサービスは2026年9月26日、「ニッポンレンタカーアプリ」が第三者による不正アクセスを受け、会員41名の個人情報が閲覧されたおそれがあると公表した。
閲覧されたおそれがあるのは、氏名・電話番号・メールアドレス・ログインID・利用履歴・予約情報など。さらに運転免許証を登録していた会員については免許証番号・住所・生年月日が、クレジットカードを登録していた会員についてはカード番号の下4桁と名義人名が、それぞれ閲覧対象に含まれる。同社は対象の会員へ個別にメールで連絡し、原因究明と再発防止、情報セキュリティ体制の強化に取り組むとしている。
対象は41名と少数だが、運転免許証番号や生年月日といった本人確認情報が含まれる点が重い。これらは成りすましによる口座開設やローン契約などに悪用されうるため、件数の小ささだけで軽視できない事案だ。
中小企業への影響
本人確認のために運転免許証などの情報を預かる事業者（不動産、人材、レンタル、金融、宿泊など）に共通する教訓だ。本人確認書類は、万一漏れたときの被害が大きく、いったん預かると削除を忘れて滞留しやすい。「取ったきり」になっていないか見直したい。
推奨対応
- 本人確認書類は必要最小限の期間だけ保持し、用済みになったデータは確実に削除する運用を決める
- 書類データは暗号化して保存し、閲覧できる担当者と端末を限定する
- 漏えい時は対象者へ速やかに連絡し、不正契約など二次被害への注意喚起をあわせて行う
編集部まとめ
決済、会員情報、本人確認書類——今回漏れたのはいずれも「利用者から預かったデータ」だ。中小企業もWebサイトやアプリ、外部サービスを通じて同じ種類のデータを抱えている。まず守るべきデータを棚卸しし、ログイン防御と委託先の管理体制を点検すること。それが被害を防ぐ最短の一歩になる。関連する注意喚起はAND SECUREでも随時発信している。
参考情報
- 「クロネコ代金後払いサービス」への不正アクセスの発生について（ヤマトホールディングス）
- 「クロネコ代金後払いサービス」に不正アクセス（ScanNetSecurity）
- スターツ出版「オズモール」に不正アクセス、会員のメールアドレス 最大447,610名分が漏えいした可能性（ScanNetSecurity）
- 「オズモール」に海外から不正アクセス 45万人分のメアド流出の可能性（ITmedia NEWS）
- 「ニッポンレンタカーアプリ」への不正アクセス、運転免許証情報が閲覧されたおそれも（ScanNetSecurity）
- ニッポンレンタカーでも会員41人の情報漏えいのおそれ 免許証番号やクレカ下4ケタも（ITmedia NEWS）
続報・追加情報
ニッポンレンタカーサービスは、既報（9月26日公表・会員41名）とは異なる手法による別の不正アクセスが判明したと公表した。新たに判明した対象は会員55名で、2026年9月19日から21日にかけて会員情報ページへ不正アクセスがあり、同社は9月29日に確認した。氏名・電話番号・メールアドレス・ログインID・利用履歴・予約情報に加え、運転免許証情報またはクレジットカード情報を登録していた会員は、免許証番号・住所・生年月日・クレジットカード番号下4桁・名義人名が閲覧されたおそれがある。
ヤマト運輸は停止していた「クロネコ代金後払いサービス」を2026年10月9日13時に再開した。再開にあわせ、2026年9月28日以降に支払期限を迎える払込票の支払期限を17日間延長する（例：支払期限が10月1日の払込票は10月18日まで延長）。不正アクセスによる情報漏えいの範囲・対象者数は引き続き調査中で、同社はサービス再開が調査完了を意味するものではないとしている。