佐川急便の不正アクセス｜送り状データ流出の可能性と出荷人が取るべき3つの対策

セキュリティ最前線

佐川急便の不正アクセス — 送り状データ約100日分が流出した可能性と、配送を委託する出荷人が取るべき3つの対策

佐川急便株式会社は2026年9月30日、Webサイトの「お荷物問い合わせサービス」で第三者による不正アクセスを確認しました。10月23日の第5報では、流出した可能性のある個人情報を最大約5,323万件（重複を含む件数）と公表し、同じ日に「お荷物問い合わせサービス」を再開しています。対象には、6月21日から9月30日までに預かった荷物の、ご依頼主さまとお届け先さまの氏名・住所・電話番号が含まれます。佐川急便の第1報から第5報とよくあるご質問をもとに経緯を整理し、通販やメーカーなど、配送を委託して自社のお客様の住所や氏名を配送会社に渡している中小企業が取るべき3つの対策を、手順とともに解説します。

著者：久保日向太（株式会社ガーディアン営業グループ長）
公開日：2026年10月28日

この記事の要点

佐川急便の事例では、配送会社のWebサービスが不正アクセスを受け、システムに保管されていた約100日分の送り状データが流出した可能性のある範囲になりました。お届け先には通販の購入者やふるさと納税の寄附者も含まれ、佐川急便は個人情報保護委員会への確報を、配送業務を委託している出荷人との連名で行う方向で準備しています。出荷人にとって効果が大きいのは、どの経路でどの項目を配送会社に渡しているかを一覧にして期間ごとの出荷件数を出せるようにすること、連名の報告に加わるかを決めて自社のお客様への通知を自社の名前で出すこと、配送会社や自社を装うSMSとメールに備えて自社の発送連絡の正しい形を示しておくことの3つです。

佐川急便の不正アクセスとは

佐川急便の不正アクセスは、同社Webサイトの「お荷物問い合わせサービス」（インターネット貨物システム）に第三者が不正にアクセスし、荷物の送り状データなどが外部に流出した可能性がある事案です。発覚は2026年9月30日午前7時30分で、不正アクセスが起きた日時は、第三者専門機関の協力を得て調査が続いています。荷物の集荷と配達はこの間も通常どおり行われました。

流出した可能性のある個人情報は、10月23日の時点で最大約5,323万件（重複を含む件数）です。同社はこの数字について、重複した情報を一定程度整理したうえでの最大件数で、すべてが実際に外部へ流出したことを確かめた件数でも、対象となる方の実人数でもないと説明しています。現時点で、不正利用などの二次被害は確認されていません。最新の動きは、当社の事例速報「佐川急便株式会社のサイバー攻撃被害」で更新しています。

発覚から第5報までの経緯

発覚の翌日に流出の可能性と対象の情報の種類が示され、件数の公表とサービスの再開は約3週間後でした。その間に、出荷人の側でも自社のお客様に向けたお知らせが相次いでいます。

図表1発覚の翌日に流出の可能性が示され、件数の公表と問い合わせサービスの再開は10月23日だった佐川急便の不正アクセスの経緯（2026年）

日付	出来事
9月30日	午前7時30分に発覚。「お荷物問い合わせサービス」への第三者による不正アクセスを確認し、同サービスへのアクセスを一部制限（第1報）
10月1日	個人情報が外部に流出した可能性と、対象となる情報の種類を公表（第2報）。正午にインターネット貨物システムへの外部からのアクセスを遮断し、Web受付など9つのサービスを停止。個人情報保護委員会へ速報。専用コールセンターを開設（第3報）
10月7日	横須賀市が、ふるさと納税の返礼品の配送で再委託していたことから、寄附者の情報が漏えいしているおそれを公表
10月9日	他のシステムとグループ会社のシステムへの影響は確認されていないと公表。確報は出荷人との連名で行う方向と説明（第4報）
10月15日	ユニ・チャームダイレクトショップが、委託先が佐川急便を通じて配送した一部のお客様のお届け先情報が対象に含まれる可能性が高いと公表
10月23日	最大約5,323万件（重複を含む件数）と公表し、「お荷物問い合わせサービス」を再開（第5報）。よくあるご質問に出荷履歴の確かめ方を追加し、連名の報告の扱いを更新

出典：佐川急便株式会社の第1報〜第5報とよくあるご質問、横須賀市・ユニ・チャームダイレクトショップの公表資料（2026年9月30日〜10月23日）をもとに当社作成

流出した可能性のある情報

対象となる情報は3つに分かれ、区分ごとの件数は、重複が多く実人数を示すことが難しいとして公表されていません。法人の顧客の情報でも、担当者名など特定の個人を識別できるものは集計に含まれています。

図表2送り状データは保管期間の約100日分が範囲になり、送った人と受け取った人の両方が含まれる流出した可能性のある情報

区分	対象となる情報
送り状データ	2026年6月21日から9月30日まで（約100日間）に預かった荷物の、ご依頼主さま・お届け先さまの氏名、住所、電話番号。期間は当該システムの送り状データの保管期間に基づく
運賃契約の顧客リスト	運賃契約を結んでいる顧客の氏名（法人は法人名・担当者名）、住所、電話番号
スマートクラブの会員情報	氏名、住所、電話番号、メールアドレス、スマートクラブの会員ID
含まれていない情報	クレジットカード情報、パスワード、銀行口座情報。手書きの送り状で預かった荷物の情報も含まれない

出典：佐川急便株式会社「「お荷物問い合わせサービス」の再開および個人情報の流出に関する調査状況について（第5報）」（2026年10月23日）、同「よくあるご質問（FAQ）」

荷物の品名や配送履歴が含まれるかは、確認が続いています。2026年7月に公表された「スマートクラブ」の個人情報漏えいは、システム不具合の復旧作業での設定誤りによるもので、今回とは別の事案だと同社は説明しました。

配送会社の不正アクセスで、なぜ出荷人のお客様の情報まで対象になるのか

送り状には、荷物を送る出荷人の情報だけでなく、受け取るお客様の氏名・住所・電話番号が書かれているため、配送会社のシステムから漏れれば出荷人のお客様の情報も一緒に対象になります。佐川急便の事例から、出荷人に関わる点を3つに分けて整理します。

送り状のお届け先は、出荷人から預かった個人データでもある

通販で商品を受け取っただけの人も対象になるのかという問いに、佐川急便はお届け先さまとして氏名・住所・電話番号が対象となる可能性があると答えています。出荷人から見ると、お届け先は自社のお客様であり、配送のために配送会社へ渡した個人データです。ユニ・チャームダイレクトショップは、漏えいのおそれがある項目に送り状番号も挙げ、個人情報保護委員会への速報を自社で行いました。

保管期間の約100日が、そのまま影響の範囲になった

送り状データの対象期間は、6月21日から9月30日までの約100日間でした。佐川急便は、この期間を当該システムの送り状データの保管期間に基づくものと説明しています。システムに何日分のデータが残っているかが、事故の日に出荷人が調べる期間と、お客様に案内する範囲を決めたことになります。

委託の先にある再委託まで、出荷人が確かめることになる

横須賀市と秋田県美郷町は、ふるさと納税の業務の委託先を通じて、返礼品の配送を佐川急便に再委託していました。ユニ・チャームダイレクトショップも、委託先が佐川急便を通じて配送を依頼した一部のお客様が対象に含まれる可能性が高いと公表しています。物流や受注を外部に任せている会社ほど、どの配送会社にお客様の情報が渡っているかを、委託先に尋ねて確かめる手間が生じました。

図表3出荷人の側でも、件数が確定する前に、対象となる情報と不審な連絡への注意を自ら公表した出荷人の側が出したお知らせの例

公表した組織	佐川急便との関係	お知らせで示した内容
横須賀市	ふるさと納税の委託先を通じて、返礼品の配送を再委託	6月下旬以降の寄附者の氏名・住所・電話番号が対象となるおそれ。個人情報保護委員会へ報告し、委託事業者と範囲を確認中
美郷町（秋田県）	ふるさと納税の委託先を通じて、返礼品の配送を再委託	寄附者の情報が対象となるおそれ。返礼品は通常どおり出荷し、出荷時の連絡ができない場合があると案内
ユニ・チャームダイレクトショップ	委託先が佐川急便を通じて配送を依頼	氏名・住所・電話番号・送り状番号が対象に含まれる可能性が高い。個人情報保護委員会へ速報し、佐川急便の専用窓口も案内

出典：横須賀市（2026年10月7日）、美郷町（2026年10月14日）、ユニ・チャームダイレクトショップ（2026年10月15日）の公表資料

配送を外部に委託する中小企業が狙われる理由

配送会社や物流の委託先が狙われるのは、多くの出荷人のお客様の住所と氏名が1つのシステムに集まり、そこを破れば一度に大量の個人情報に手が届くからです。中小の通販事業者やメーカーは、自社で配送網を持たず、送り状の発行から追跡までを配送会社のシステムに頼るのが一般的といえます。当社代表の青山は、総合解説「サプライチェーン攻撃の起点は中小企業にある」で、2022年4月施行の改正個人情報保護法により、不正アクセスによる漏えいは件数にかかわらず報告と本人への通知が義務になったと整理しています。メール配信サービスに預けた宛先リストが持ち出されたブラストメールの事例と同じく、預けた先の事故でも、お客様への説明は預けた側の仕事として残ります。

配送会社の情報漏えいに備えるには？出荷人が取るべき3つの対策

配送を委託する出荷人が優先したいのは、①配送会社に渡している出荷データの経路と項目を一覧にし、期間ごとの出荷件数をすぐ出せるようにする、②連名の確報に加わるかを決め、自社のお客様への通知を自社の名前で出す、③配送会社や自社を装うSMSとメールに備え、自社の発送連絡の正しい形をお客様に示す、の3つです。①は影響の範囲を早く確かめるため、②は報告と通知を遅らせないため、③は二次被害からお客様を守るための備えにあたります。

対策1：配送会社に渡している出荷データの経路と項目を一覧にし、期間ごとの出荷件数をすぐ出せるようにする

配送会社の事故に備えて最初に整えたいのは、どの経路でどの項目を配送会社に渡し、ある期間に何件出荷したかを、すぐ答えられる状態です。佐川急便のよくあるご質問は、対象期間の出荷履歴を確かめたい出荷人に、使っている送り状発行システムで調べるよう案内しました。ただし検索できる範囲は、システムによって3か月以内や1か月以内に限られており、約100日分を調べるには期間を分けて何度も検索する必要があります。

出荷の経路は1つとは限らず、自社で発行する送り状のほかに、物流代行やふるさと納税の委託先が別に配送を手配しているケースも少なくありません。次の表のように経路ごとに書き出しておくと、事故の日の照会が早まります。

出荷の経路	確かめること	残しておく記録
自社で発行する送り状（配送会社の発行システム）	使っている発行システムの名前と、検索できる期間の上限	月ごとの出荷件数と出荷実績の書き出し
ECサイトやカートの配送連携	配送会社へ自動で送っている項目（氏名、住所、電話番号、品名など）	連携の設定と、送っている項目の一覧
物流代行・倉庫	使っている配送会社と、委託先が持つ出荷データの保管期間	委託先から出荷件数を受け取る方法と連絡先
ふるさと納税・催事などの委託先	再委託の有無と、配送会社の名前	委託契約の再委託条項と窓口

判断の目安は、「配送会社から対象期間を告げられた日に、その期間の出荷件数と経路を半日で出せる」状態です。落とし穴は、物流代行に任せた出荷について、どの配送会社を使っているかを社内の誰も把握していないことにあります。品名欄に商品名をそのまま書くと、何を買ったかまで送り状に載るため、配送に要らない項目を送らない設定も見直しておくと安心です。一覧は物流の担当者が1日ほどで作れ、配送会社や委託先を替えるたびに直します。

対策2：連名の確報に加わるかを決め、自社のお客様への通知を自社の名前で出す

2つ目は、個人情報保護委員会への報告をどう行い、自社のお客様にどう知らせるかを、配送会社の案内を待たずに決めておくことです。佐川急便は、確報を同社が取りまとめ、出荷人との連名で行う方向で準備していると公表しました。連名に同意しない出荷人は自ら速報と確報を行う必要が生じる場合があり、すでに個別に報告している出荷人も連名への切り替えを相談できると案内しています。

個人情報保護委員会のガイドラインは、委託元と委託先の双方が報告の義務を負う場合に、連名で報告できると定めています。報告は、事態を知ってから概ね3〜5日以内の速報と、不正の目的によるおそれがある事態なら60日以内の確報の2段階です。出荷人として決めておきたいのは、次の5つになります。

配送会社の発表を見た日に、自社が対象に入るかを対策1の一覧で確かめる担当を決める
件数がまだ分からなくても、自社で速報を出すかどうかの基準を持つ
連名の確報に加わるか、自社で確報まで行うかを、経営者と個人情報の責任者で判断する
自社のお客様に向けたお知らせを公式サイトに載せ、配送会社の専用窓口と自社の窓口の両方を案内する
委託先を通じて配送している分は、報告と通知をどちらが行うかを委託先とすり合わせる

判断の目安は、「配送会社の発表から1週間以内に、報告の方法を決め、自社の名前でお知らせを出せる」ことです。陥りやすいのは、配送会社がまとめて報告してくれると考えて、自社のお客様への説明が後回しになる流れでしょう。横須賀市やユニ・チャームダイレクトショップは、件数が確定する前に、対象となる情報と不審な連絡への注意を自らのお知らせで示しました。手順書は経営者と個人情報の責任者で半日ほどあれば形になり、年に一度、報告の連絡先と委託先の一覧を確かめ直します。

対策3：配送会社や自社を装うSMSとメールに備え、自社の発送連絡の正しい形をお客様に示す

3つ目は、事故に便乗した偽の連絡からお客様を守るため、自社から届く発送連絡がどんな形なのかを先に知らせておくことです。佐川急便は第4報で、本事案に便乗して同社を装う不審なメールやSMS、電話による連絡が行われる可能性があるとして、URLへのアクセスや添付ファイルの開封、個人情報の入力をしないよう呼びかけました。同社はふだんから、荷物の集配についてSMSで案内することはないと明記しています。

宅配業者を装う偽のSMSやメールは、事故の前から多く出回っており、住所と電話番号が漏れたお客様は狙いを定めた連絡を受けやすくなります。出荷人ができることは、次の5つの手順にまとまります。

自社の発送連絡を送るメールアドレスとドメイン、載せる内容（注文番号、送り状番号、追跡の案内）を決め、公式サイトの「お届けについて」に載せる
自社ドメインのSPF・DKIM・DMARCを整え、自社を名乗る偽のメールを受信側で見分けやすくする
追跡の案内には配送会社の公式の追跡ページだけを使い、短縮URLを使わない
「SMSで再配達やお支払いを求めることはない」など、自社がしない連絡を一文で示す
問い合わせ窓口に、配送会社を名乗るSMS、身に覚えのない荷物、代金引換の問い合わせへの答え方を配っておく

判断の目安は、「お客様が届いた連絡を、自社の公式サイトの説明と照らして本物か確かめられる」状態です。落とし穴は、自社の発送メールに送信元のドメインが複数混ざっていたり、短縮URLを使っていたりして、本物まで偽物と見分けにくくなっていることにあります。公式サイトの説明はEC担当者が半日で書け、メールの設定は情報システムの担当者が1〜2日で整えられます。

出荷データの周りを固める、ガーディアンの3つの支援

配送会社のシステムの中の守りは配送会社が担いますが、出荷データを受け渡す自社と委託先のWeb、お客様に案内を出す公式サイト、自社の名前で届くメールは、出荷人の側で守る範囲です。当社はこの範囲を、委託先を洗い出す、案内の窓口と名前を守る、自社の受付画面を見続ける、の順に3つのサービスで支えます。

物流と受注の委託先を、SCAN DOG ライト版で外から一度に診断する

物流代行、受注代行、ふるさと納税の委託先、ECのカートなど、出荷データが通る先には外部の事業者のWebがいくつも並んでいます。SCAN DOG ライト版は、それらのURLを一覧でお預かりし、SSLの状態、管理画面やログインIDが外から見えていないか、CMSが古いまま残っていないかを外部から診断するサービスです。急いで手を入れたい先から順に並べたレポートをお届けするため、対策1の一覧に、委託先ごとの外から見た状態を書き足せます。委託先に改善をお願いするときも、診断結果がそのまま話し合いの材料になるでしょう。

お知らせを出す公式サイトと、自社を名乗るメールの見分けやすさは、SCSC Dog で整える

配送会社の事故の後、お客様が真っ先に確かめに来るのは、商品を買った会社の公式サイトです。SCSC Dog は、公式サイトの更新、WAF、24時間365日の有人監視、障害時の復旧までを当社が受け持ち、お知らせや「お届けについて」の説明をすぐ載せ替えられる状態を保ちます。対策3で挙げた SPF・DKIM・DMARC も標準で設定するので、自社を名乗る偽のメールを受け取る側が見分けやすくなります。当社がこの仕組みで運用するサイトは、2026年10月時点で76,325です。

注文と会員の受付画面は、SCAN DOG 正規版で決めた頻度の診断を続ける

送り状の元になる住所と氏名は、自社の注文フォームや会員ページで集めたものです。SCAN DOG 正規版は、こうした公開Webアプリケーションを、毎日・毎週・毎月・半年ごと・1年ごとから選んだ頻度で診断し、指摘と対応の状況をまとめて管理できます。セールや配送方法の追加でページを改修する会社ほど、改修のたびに新しい穴ができていないかを確かめ続けられる点が役に立つはずです。

SCS評価制度で問われる、委託先との情報の取り決めと事故時の分担

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、経済産業省などが進める任意の制度で、企業のセキュリティ対策の水準を★の数で示します。★3・★4の申請受付は2026年度末に始まる予定です。取引そのものを縛る制度ではないものの、メーカーや卸の取引では、お客様の情報を外部にどう預けているかを取引先から尋ねられる場面が出てくるとみられます。

この事例と関係が深いのは、★3の要求事項「2-1-2 機密情報の取扱い」と「2-1-4 セキュリティインシデント発生時の役割・責任」です。前者は、機密情報を共有する取引先との間で、業務を始める前に利用の制限や保管の方法、返還又は廃棄を取り決めることを、後者は事故が起きた時の双方の役割と責任を定めることを求めています（IPA「★3・★4 要求事項・評価基準」）。配送会社や物流代行に渡すデータの保管期間を確かめる対策1と、報告と通知の分担を決める対策2は、この2つへの準備を兼ねます。制度の全体像はSCS評価制度への対応で解説しています。

まとめ

佐川急便の事例では、「お荷物問い合わせサービス」への不正アクセスで、2026年6月21日から9月30日までの送り状データ、運賃契約の顧客リスト、スマートクラブの会員情報が流出した可能性があり、その件数は最大約5,323万件（重複を含む件数）と公表されました。確報は出荷人との連名で行う方向で準備されており、出荷人の側でも自社のお客様へのお知らせが続いています。

配送を外部に委託している企業が、今日から進めたいのは次の3つです。