ヤマト運輸に不正アクセス｜代金後払いの利用者約526万件が持ち出し

ヤマト運輸は2026年10月16日、通販の後払い決済「クロネコ代金後払いサービス」への不正アクセスについて、調査結果を第4報として公表しました。 利用者の情報約526万件、届け先の情報約5万件、加盟店の情報約4,100件が不正に持ち出されたとしています（ヤマト運輸の発表）。 2018年10月以降にこのサービスで後払いをした人と、このサービスを決済に使っている通販の事業者に関係します。

公表された内容

• 時期：2026年9月28日に不正アクセスを確認し、外部からのアクセスを制限したとしています
• 利用者の情報：約526万件（うちメールアドレスを含むものは約49万件）。2018年10月1日〜2026年9月28日の分で、氏名・住所・電話番号・メールアドレス・商品の明細・社内の管理用の番号（申込番号・受注日など）
• 届け先の情報：約5万件。2021年2月5日〜2026年9月28日の分で、届け先の氏名・住所・電話番号・送り状番号
• 加盟店の情報：約4,100件。加盟店名と加盟店コード
• 含まれない情報：クレジットカードの情報とパスワードは含まれないとしています。第2報で心配された「請求金額」「債権残高」「社員の氏名」は、持ち出しが確認されなかったとしています。「クロネコメンバーズ」など他のサービスからの持ち出しも確認されなかったとしています
• 原因：侵入の経路は公表されていません
• 二次被害：持ち出された情報の不正な利用は確認されていないとしています。一方で、心当たりのないメール・SMS・電話についての問い合わせが寄せられているとしています

経緯

• 2026年9月29日：第1報。不正アクセスの発生と、個人情報保護委員会への報告を公表
• 2026年10月2日：第2報
• 2026年10月9日：第3報。サービスの再開を案内
• 2026年10月16日：第4報。調査結果と今後の対応を公表（2026年10月16日の発表で、件数は概数）

会社の対応

• 外部からのアクセスの制限などの対策をとり、セキュリティの専門機関の協力を得て調べたとしています
• 個人情報保護委員会へ報告。対象の人には順に個別に連絡し、連絡がつかない場合はこの発表を通知に代えるとしています
• 外部の専門機関の助言を受けて、中長期の対策を進めるとしています
• 利用者には、心当たりのないメール・SMSのリンクや添付を開かずに消すこと、不審な電話・郵便物に慎重に対応することを呼びかけています

中小企業が今日からできること

• 通販の事業者は、使っている決済・後払いのサービスを確かめる：自社の店が加盟店かどうか、加盟店の情報（店名・加盟店コード）が対象になっていないかを、サービスの会社からの連絡で確かめる
• 自社の名前を使った「未払い」「請求」の偽の連絡に備える：購入した商品の明細まで持ち出されているため、実際の買い物に合わせた請求のメール・SMSが届くおそれがある。自社の店の問い合わせ窓口に、こうした問い合わせが来たときの答え方を決めておく
• 社員に「宅配・後払いを名乗る連絡」の扱いを周知する：リンクを開かず、公式のアプリやサイトから確かめるよう伝える
• 委託先が持つ自社の顧客の情報を棚卸しする：決済・配送・メール配信など、外部のサービスにどの顧客の情報を、何年分渡しているかを書き出し、要らなくなった分の消し方を契約で確かめる