and secure企業のためのセキュリティ情報

トップ ＞ 企業インシデント

企業インシデント

【インシデント速報】2026年10月2日｜佐川急便 不正アクセスで9サービス停止・ベネフィット・ワン設定不備で漏えい

公開

【インシデント速報】2026年10月2日｜佐川急便 不正アクセスで9つのWebサービス停止・ベネフィット・ワン 設定不備で約1万3千人分の従業員情報が他社に表示


今日のポイント（3行以内）:


佐川急便は不正アクセスを受け、荷物追跡や会員サービスなど9つのWebサービスを停止した。約100日分の荷物データや会員情報が漏えいのおそれがある。

ベネフィット・ワンは福利厚生サービスの設定不備で、2,322企業・団体・約1万3千人分の従業員情報が別の利用企業の担当者に表示されていた。

「外部からの攻撃」と「自社の設定・運用ミス」は、どちらも同じ日に起こりうる。委託先の障害対応とアクセス権限の点検を、今日の作業に加えたい。

① 佐川急便 — 不正アクセスで「お荷物問い合わせサービス」など9つのWebサービスを停止、約100日分の荷物データが対象のおそれ

佐川急便は2026年9月30日に第1報、10月1日に第2報を公表し、同社のWebサービスが不正アクセスを受けたことを明らかにした。荷物の輸送状況を確認する「お荷物問い合わせサービス」を含む9つのWebサービスを停止して対応にあたっている。荷物の集荷・配達は通常どおり続けられている。

漏えいのおそれがある情報は3つに分かれる。1つ目は、9月30日からさかのぼって約100日間の累計にあたる荷物の送り主・届け先の氏名・住所・電話番号。2つ目は、運賃契約を結ぶ顧客の氏名・住所・電話番号。3つ目は、会員制Webサービス「スマートクラブ」登録者の氏名・住所・電話番号・メールアドレス・会員ID。クレジットカード情報とパスワードは含まれていないとしている。具体的な件数は公表時点で調査中とされ、確定していない。

配送はeコマースや通販の出荷に直結する業務であり、荷物データには購入者の住所・電話番号が集約されている。送り主・届け先の両方が対象になりうる点で、通販事業者とその顧客の双方に影響が及ぶ構図になっている。被害の全容が未確定の段階で9つのサービスをまとめて止めた今回の判断は、影響の拡大を抑える初動として見ておく価値がある。

配送に関する情報が漏れると、実在する荷物を装った偽の「不在通知」や「再配達のお願い」のSMS・メールが届きやすくなる。送り主・届け先の氏名や電話番号が攻撃者の手に渡れば、その相手に合わせたもっともらしい文面を作られてしまうためだ。利用者側も、SMSやメールのリンクから配送状況を開かず、公式アプリやブックマークから確認する習慣が二次被害を防ぐ。

中小企業への影響

自社の出荷を配送事業者に委ねている場合、その事業者が攻撃を受けると、追跡番号の案内や問い合わせ対応が止まり、自社に落ち度がなくても顧客対応が滞る。さらに、送り状に記載した取引先・顧客の住所や電話番号が配送側のデータとして流出する可能性があり、「自社では預かっていない情報」でも二次被害につながりうる。

推奨対応

  • 利用している配送・物流サービスが停止したときの代替手段（別の配送手配、手動での追跡案内）と連絡手順を文書化しておく
  • 送り状や問い合わせ対応で顧客の住所・電話番号を扱う担当者を限定し、やり取りの記録を必要以上に長く残さない運用に見直す
  • 配送事業者からの「不正アクセス」「サービス停止」の告知を受けたら、自社の顧客にも二次被害（なりすまし連絡・偽の不在通知SMS）への注意を早めに案内する
📌

このインシデントは継続追跡中です（詳細記事は順次公開予定）

② ベネフィット・ワン — 設定不備で2,322企業・団体・約1万3千人分の従業員情報が別の利用企業に表示

福利厚生サービスを運営するベネフィット・ワンは2026年9月30日、同社の「ベネワン・プラットフォーム」で2,322の企業・団体に所属する1万3,460人分の個人情報が、別の利用企業の担当者に表示されていたと公表した。外部からのサイバー攻撃ではなく、アンケート結果をダウンロードする機能の設定不備が原因とされている。

表示されていたのは、社員・職員番号、氏名、性別、生年月日、企業・団体名、所属・役職、入退社情報。クレジットカード情報・口座情報・要配慮個人情報・メールアドレス・パスワードは含まれていない。設定不備は2025年6月のシステム改修で生じ、同年10月の社内調査で把握されたものの、その後の修正が適切に行われていなかった。2026年7月30日に、利用企業の担当者が自社のアンケート結果をダウンロードしたところ他社の従業員情報が含まれていたと連絡し、発覚した。改修後にこの機能を使ったのはこの担当者だけだったという。

外部侵入を伴わない「設定不備」でも、他社の個人情報が1万件を超える規模で見えてしまう。改修でアクセス制御の条件が崩れ、不具合を把握したあとも直し切れていなかった点が、被害を長期化させた。利用者から指摘されるまで誰も気づかなかったという経緯は、自社運用のシステムでも起こりうる。同社は担当者にデータ削除を依頼し、個人情報保護委員会に報告済みで、第三者への転送や不正利用は確認されていないとしている。

不具合を2025年10月に把握しながら、修正が完了するまで約9か月にわたって他社のデータが見える状態が続いた点は重い。設定変更やシステム改修は「直したつもり」で終わりやすく、直った証拠を残す確認工程がなければ、今回のように利用者の指摘まで誰も気づけない。

中小企業への影響

攻撃を受けていなくても、権限設定の誤りだけで他社や他部署の個人情報が見える状態は起こる。特に、利用している外部のクラウドサービス（勤怠・福利厚生・アンケート・予約など）でデータが企業ごとに正しく分離されているかは、利用側では見えにくい。自社が預けた従業員情報が、同じサービスを使う別の会社から見えてしまうリスクとして捉える必要がある。

推奨対応

  • システムやクラウド設定を変更・改修したら、変更前に見えなかったデータが見えるようになっていないか、別アカウント・別部署の視点で必ず確認する
  • 「不具合を把握したが直っていない」状態を放置しないよう、修正の完了確認までを担当者任せにせず記録とダブルチェックで締める
  • 外部サービスを導入する際は、企業ごと・利用者ごとのデータ分離とアクセス権限の仕様を契約前に確認し、定期的な権限棚卸しを運用に組み込む
📌

このインシデントは継続追跡中です（詳細記事は順次公開予定）

編集部まとめ

今回の2件は、外部からの不正アクセス（佐川急便）と、自社の設定不備（ベネフィット・ワン）という対照的な原因でありながら、どちらも「預かった個人情報が想定外の相手に渡る」という同じ結果に行き着いた。中小企業がまず着手できるのは、委託先が止まったときの代替手順の用意と、システム変更後に権限・表示範囲を別の視点で検証する習慣の2つ。攻撃対策と運用点検は、片方だけでは守り切れない。関連する注意喚起は

AND SECURE

でも随時発信している。

企業インシデントの記事