佐川急便株式会社のサイバー攻撃被害｜「お荷物問い合わせサービス」に不正アクセス、流出した可能性のある個人情報は最大約5,323万件（重複を含む件数）。10月23日にサービスを再開
AI要約・精査
AI
要約
AI
精査
AI要約
AI精査
ChatGPTによるAI精査
GeminiによるAI精査
速報サイバー攻撃の被害事例最終更新 2026年10月27日
佐川急便株式会社「お荷物問い合わせサービス」に不正アクセス、流出した可能性のある個人情報は最大約5,323万件（重複を含む件数）。10月23日にサービスを再開
- 不正アクセス
状況一部再開（お荷物問い合わせは再開、受付系など8つのサービスは停止中、重複の整理を継続）
被害発生日2026年9月30日
企業名佐川急便株式会社
この事例の要点
佐川急便は、Webサイトの「お荷物問い合わせサービス」への第三者による不正アクセスについて、流出した可能性のある個人情報が現時点で最大約5,323万件（重複を含む件数）になると発表しました。対象は、2026年6月21日から9月30日までの約100日間に預かった荷物の送り状データにあるご依頼主さま・お届け先さまの氏名や住所、電話番号に加え、運賃契約の契約者情報と「スマートクラブ」の会員情報です。この件数は同じお客さまの重複を多く含み、対象者の実人数を示すものではありません。クレジットカード情報とパスワードは含まれておらず、停止していた「お荷物問い合わせサービス」は10月23日に再開しました。
最新の動き
- 2026年10月23日最新 第5報。重複する情報を一定程度整理したうえで、流出した可能性のある個人情報の最大件数を約5,323万件（重複を含む件数）と公表。「インターネット貨物のお荷物問い合わせ」を同日再開。お荷物問い合わせAPI、飛脚宅配便受付、受取先変更など8つのサービスは停止を継続。 出典
- 2026年10月9日 第4報。他のシステムとグループ会社のシステムへの影響は確認されていないと公表。発覚日時は9月30日午前7時30分で、不正アクセスの発生日時は第三者専門機関の協力を得て調査中と説明。 出典
- 2026年10月1日 第2報で、個人情報が外部に流出した可能性があることと、対象となる情報の種類を公表。同日正午にインターネット貨物システムへの外部からのアクセスを遮断し、個人情報保護委員会へ速報。第3報で専用コールセンターを開設。 出典
- 2026年9月30日 「お荷物問い合わせサービス」への第三者による不正アクセスを確認し、同サービスへのアクセスを一部制限（第1報）。 出典
分かっていること・まだ公表されていないこと
分かっていること
- 流出した可能性のある個人情報は、現時点で最大約5,323万件（重複を含む件数）。すべての情報が実際に外部へ流出したことを確認した件数ではなく、対象となる方の実人数を示すものでもない
- 送り状データ：2026年6月21日から9月30日までの約100日間（当該システムの送り状データの保管期間）に預かった荷物の、ご依頼主さま・お届け先さまの氏名、住所、電話番号
- 運賃契約を締結している顧客の契約者情報（顧客リスト）：氏名、住所、電話番号
- Webサービス「スマートクラブ」の会員情報：氏名、住所、電話番号、メールアドレス、スマートクラブの会員ID
- クレジットカード情報とパスワードは含まれていない。手書きの送り状で預かった荷物の情報も対象外
- 法人の顧客に関する情報でも、担当者名など特定の個人を識別できる情報は集計の対象に含めている
- 現時点で、本件に関連する個人情報の不正利用などの二次被害は確認されていない
- 個人情報保護委員会への確報は、佐川急便が内容を取りまとめ、出荷人さま（配送業務を委託している顧客）との連名で行う方向で準備している
- 再発防止として、第三者専門機関による調査結果を踏まえ、システムのアクセス管理や監視体制の強化など、情報セキュリティ対策の見直しを進めている
- 佐川急便を装った不審なメール、SMS、電話に注意し、記載されたURLへのアクセスや個人情報の入力・提供をしないよう呼びかけている
まだ公表されていないこと
- 不正アクセスが起きた日時と、侵入の経路や手口
- 送り状データ・顧客リスト・会員情報の区分ごとの件数（重複が多く、実人数を適切に示すことが難しいとして公表していない）
- 重複を整理したあとの、対象となる方の実人数
- 停止中の8つのサービス（お荷物問い合わせAPI、飛脚宅配便受付など）を再開する時期
事例の概要
| 企業名 | 佐川急便株式会社 |
|---|---|
| 被害発生日 | 2026年9月30日 |
| 被害の内容 | 2026年9月30日、佐川急便のWebサイトの「お荷物問い合わせサービス」で第三者による不正アクセスを確認。2026年6月21日から9月30日までの約100日間の送り状データ（ご依頼主さま・お届け先さまの氏名、住所、電話番号）、運賃契約を結んでいる顧客の契約者情報、Webサービス「スマートクラブ」の会員情報が流出した可能性があり、その件数は現時点で最大約5,323万件（重複を含む件数） |
| 出典 | 佐川急便株式会社「「お荷物問い合わせサービス」の再開および個人情報の流出に関する調査状況について（第5報）」（2026年10月23日） |
対策に向けたガーディアンの見解
1配送を委託する側も、渡している情報の範囲を記録しておく
今回の対象には、荷物を送った人だけでなく届け先の氏名・住所・電話番号も含まれ、佐川急便は個人情報保護委員会への確報を出荷人さまとの連名で行う方向で準備しています。通販などで配送を委託している企業は、どのシステムからどの項目を配送会社に渡しているのか、期間ごとの出荷件数をすぐに出せる形で残しておくと、連名での報告や自社のお客様への案内を落ち着いて進められます。
2データの保管期間が、そのまま影響の範囲になる
送り状データの対象期間は約100日間で、これは当該システムでの送り状データの保管期間に基づくと説明されています。取引や配送の履歴を業務に必要な期間を過ぎても残していると、万一の際に持ち出されうる情報もその分だけ増えてしまいます。自社のシステムで履歴を何日分残しているのかを確かめ、期間を決めて消す仕組みを入れておくことが、被害の大きさを抑える土台になるでしょう。
3件数を公表するときは、数え方も一緒に伝える
佐川急便は約5,323万件という数字に、重複を含むこと、実人数ではないこと、外部への流出を確かめた件数ではないことを並べて記しています。大きな数字だけが広まると、受け手は規模を取り違えがちです。公表する側に立ったときは、件数の数え方と整理が続いている点を同じ文の中で示し、あわせて自社を装うSMSやメールへの注意を呼びかけておけば、利用者の不安と二次被害の両方を和らげやすくなります。
詳しい解説と対策（WEB戦略ラボ）
佐川急便の不正アクセス｜送り状データ流出の可能性と出荷人が取るべき3つの対策
企業がするべきセキュリティ対策については
サプライチェーン攻撃の起点は中小企業にある
ランサムウェアのカラクリと、ホームページ・メール・ブラウザ「3つの接点」の対策をまとめて解説しています。
対策の解説を読む
SOLUTION
GUARDIANの
サイバーセキュリティ
対策サービス
サイバーセキュリティ
対策サービス
SCAN DOG ライト版
まずは大企業が保有する取引先（中小企業）数千社規模をライト版で一斉に簡易診断し、現状把握しましょう！経済産業省も推進する『サプライチェーン強化に向けたセキュリティ対策評価制度』にも対応した、自己評価・第三者評価をクリアにし、次なる対策「SCSC Dog」で課題を解決していきましょう。
SCSC Dog
診断によって現状把握を終えた取引先（中小企業）には、評価という結果＝課題だけが残ります。その解決策として、同時にご提供するのがSCSC Dogとなります。セキュリティ対策に特化した弊社WEBプラットフォーム上に、取引先（中小企業）ホームページをお預かりしサプライチェーン網をこれまで以上に強固なものへ引き上げます。
SCAN DOG 正規版
WEBプラットフォームとして安全を確保して終わりではありません。SCSC Dogご利用のお客様ホームページには、世界水準で最新鋭の攻撃パターンを網羅した第三者機関による診断サービス「SCAN DOG 正規版」を定期的に受け続けることができ、一時的な対策だけではなく恒久的に保全し続ける環境をご提供します。