佐川急便の不正アクセス｜公表と続報のまとめ

何が起きたか

2026年9月30日、佐川急便は Web サイトの「お荷物問い合わせサービス」（インターネット貨物システム）への第三者の不正アクセスを確認したと公表しました（第1報）。10月1日の第2報で、荷物の送り主・届け先、運賃契約の顧客、Web サービス「スマートクラブ」の会員の情報が外部に流出した可能性があるとしました。 10月23日の第5報で、流出した可能性のある個人情報を、重複を含めて最大約5,323万件とまとめました（佐川急便の2026年10月23日の発表）。対象は、2026年6月21日〜9月30日（約100日間）に預かった荷物の依頼主・届け先の氏名・住所・電話番号、運賃契約の顧客の氏名・住所・電話番号、スマートクラブ会員の氏名・住所・電話番号・メールアドレス・会員IDです。クレジットカード情報とパスワードは含まれないとしています。件数には重複が多く残っており、実人数ではないとしています。不正アクセスの原因と発生日時は公表されていません。

会社の対応

• 9月30日に不正アクセスを確認し、サービスへのアクセスを制限。10月1日に外部からのインターネット貨物システムへのアクセスを遮断し、一部の Web サービスを停止
• 10月1日に個人情報保護委員会へ速報。確報は荷主（出荷人）との連名で出す方向で準備
• 専用のコールセンターとお問い合わせチャットを開設し、よくあるご質問のページを用意
• 10月23日に「インターネット貨物のお荷物問い合わせ」を再開。宅配便の受付や受取先の変更などは停止を続けている
• 第三者の専門機関の調査を踏まえ、アクセス管理と監視体制の強化など、情報セキュリティ対策を見直すとしている

この事例から中小企業が学べること

• 配送などの委託先で漏えいが起きると、荷主の側にも報告の判断が求められる。案内を受ける担当と判断する人を決めておく
• 送り状や注文のデータに、届けるのに要らない情報を載せない
• システムに残すデータの保管期間を決め、過ぎたものは消す
• 番号を入れると情報が出る照会の画面は、大量の照会を監視し、出す情報を絞る
• 自社の顧客に、配送業者を名乗る偽の SMS・メールへの注意を伝える