佐川急便に不正アクセス｜送り状などの情報 最大約5,323万件が流出のおそれ

佐川急便株式会社は、Webサイトの「お荷物問い合わせサービス」（インターネット貨物システム）への第三者の不正アクセスを2026年9月30日に確認し、個人情報が外部に流出した可能性があると公表しています。 2026年10月23日の第5報で、流出した可能性のある個人情報を、重複を含めて最大約5,323万件とまとめました（佐川急便の2026年10月23日の発表）。 2026年6月21日〜9月30日に佐川急便で荷物を送った人・受け取った人、運賃契約を結ぶ会社・個人、「スマートクラブ」の会員に関係します。

公表された内容

• 件数：最大約5,323万件（重複を含む）。送り状データには重複が多く残っており、対象となる人の実人数ではないとしています。また、すべてが実際に外部へ流出したと確認した件数でもないとしています（2026年10月23日の発表）
• 送り状データ：2026年6月21日〜9月30日（約100日間、システムの保管期間）に預かった荷物の、依頼主と届け先の氏名・住所・電話番号。手書きの送り状で預かった荷物は含まれないとしています
• 運賃契約の顧客の情報：氏名・住所・電話番号
• スマートクラブの会員情報：氏名・住所・電話番号・メールアドレス・会員ID
• 含まれない情報：クレジットカード情報とパスワード
• 法人の情報の扱い：法人の担当者名など個人が分かる情報は件数に入れ、法人名だけの記録は入れていないとしています。区分ごとの件数は、重複が多く実人数を示せないとして公表していません
• 原因・発生日時：不正アクセスが始まった日時と原因は公表されていません（第4報で、発生日時は調査中としています）
• 二次被害：10月23日の時点で、不正利用などは確認されていないとしています
• サービス：10月23日に「インターネット貨物のお荷物問い合わせ」を再開。お荷物問い合わせ API・飛脚宅配便受付・受取先変更・商品回収返金サービスなどは停止を続けています。集荷・配達は通常どおりです
• 個人情報保護委員会への報告：10月1日に速報を出し、確報は佐川急便と荷主（出荷人）の連名で出す方向で準備しているとしています

経緯

• 2026年9月30日：第1報。午前7時30分に「お荷物問い合わせサービス」への不正アクセスを確認し、アクセスを一部制限
• 2026年10月1日：第2報。個人情報が流出した可能性を公表し、一部の Web サービスを停止。同日、外部からのインターネット貨物システムへのアクセスを遮断し、個人情報保護委員会に速報。第3報で専用のコールセンターを開設
• 2026年10月9日：第4報。他のシステムとグループ会社への影響は確認されていないと公表。件数は確認中
• 2026年10月23日：第5報。お荷物問い合わせサービスを再開し、流出した可能性のある個人情報を最大約5,323万件（重複を含む）と公表

中小企業が今日からできること

• 配送の委託先の漏えいを「自社の報告」として扱う：佐川急便は荷主との連名で個人情報保護委員会に報告する方向としている。自社の顧客に荷物を送っている会社は、佐川急便からの案内を受ける担当と、自社で報告するかどうかを決める人を決めておく
• 送り状に載せる情報を減らす：品名や備考の欄に、顧客の病名・会員番号など、なくても届く情報を書いていないかを確かめる
• 自社の顧客に偽の連絡への注意を伝える：配送業者を名乗る不在通知の SMS やメールが増えるおそれがある。「当社と配送業者はリンク付きの SMS で支払いを求めない」と顧客に知らせる
• 自社の Web の「問い合わせ」機能を見直す：番号を入れると情報が出る照会の画面は、短い時間に大量の照会が来ていないかを監視し、一度に出す情報を必要な分に絞る
• データの保管期間を決める：送り状データは約100日分が対象になった。自社のシステムでも、配送や注文のデータを何日残すかを決め、過ぎたものは消す