ヤマト運輸クロネコ代金後払い ― 顧客情報の持ち出しを確定

要点

発表された事実

ヤマト運輸は2026年9月28日、「クロネコ代金後払いサービス」が第三者による不正アクセスを受けたことを確認し、同サービスを停止した（第2報が初報を参照）。
2026年10月2日の第2報で、セキュリティ専門機関の協力調査の結果、情報の一部が漏えいした可能性があると公表。
漏えいの可能性がある主な情報:
- 一部のお客さま: 氏名、住所、電話番号、メールアドレス、与信番号、請求金額、債権残高、商品明細。クレジットカード情報・パスワードは含まない。
- 一部の加盟店: 加盟店名、加盟店コード
- 担当する当社社員の氏名
漏えいの可能性が確認された方には個別連絡する方針。サービス復旧時期は確認次第案内。宅急便など他サービスは通常どおり利用可能。
問い合わせ: scmail2@kuronekoyamato.co.jp
【2026-10-09追記】10月9日の第3報で、安全に使える環境が整ったとして、同日13時に「クロネコ代金後払いサービス」を再開したと発表した。停止期間を考慮し、9月28日以降に支払期限を迎える払込票は期限を17日延長する（例：10月1日期限なら10月18日）。情報漏えいの可能性と範囲は、引き続きセキュリティ専門機関の協力を得て調べている。個人情報の不正利用は確認されていないが、心当たりのないメール・SMSや不審な電話についての問い合わせを受けているという。
【2026-10-16追記】10月16日の第4報で、調査の結果、一部情報が不正に持ち出されたことが判明したと公表した。顧客情報は2018年10月1日〜2026年9月28日分で約526万件（氏名・住所・電話・メール・商品明細・申込番号・受注日・与信番号など。うちメールアドレスを含むのは約49万件）。お届け先情報は2021年2月5日〜2026年9月28日分で約5万件（氏名・住所・電話・送り状番号）。加盟店情報は約4,100件（加盟店名・加盟店コード）。クレジットカード情報・パスワードは含まれない。第2報で可能性としていた「請求金額」「債権残高」「当社社員の氏名」については、持ち出しは確認されなかった。二次被害は現時点で未確認。対象者へは順次個別連絡する。

わかったこと

【2026-10-16】不正に持ち出された情報が確定した。顧客約526万件（メール含む約49万件）、お届け先約5万件、加盟店約4,100件（ヤマトHD第4報）。
【2026-10-16】第2報で漏えいの可能性があった請求金額・債権残高・社員氏名は、調査の結果、不正な持ち出しは確認されなかった（同）。
【2026-10-09】サービスは10月9日13時に再開し、払込票の支払期限を17日延長した（第3報）。

わかっていないこと

侵入経路・悪用された脆弱性や認証不備の内容
攻撃者の正体、データの二次流通の有無
再発防止策の詳細と、再開にあたってどこを直したか（サービス再開と第4報でも侵入経路・対策の中身は書かれていない）

関係しそうな既知の手口

（考察）後払い・BNPL系サービスは与信番号や債権残高、商品明細など、通常の通販会員マスタより「請求・回収」に直結する項目を持つ。漏えいすると架空請求やなりすまし督促の材料になりやすい。
（考察）物流大手の決済周辺サービスが止まると加盟店EC側の決済手段にも波及しうるが、本件では宅急便本体は通常稼働と明記されている。

概要

ヤマトの後払い決済サービスが侵害され、第4報で顧客約526万件・お届け先約5万件・加盟店約4,100件の持ち出しが確定した。
第2報時点で可能性とされていた請求金額・債権残高・社員氏名は持ち出されていなかった。経路の技術詳細はまだ出ていない。
利用者は不審メール・SMSのURLを開かないことが当面の実務対応になる。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2026-09-28	ヤマト運輸が「クロネコ代金後払いサービス」への不正アクセスを確認。サービス停止（第2報の記載）
2026-09-29	初報を公表（第2報が参照。報道多数）
2026-10-02	第2報。一部情報の漏えい可能性を公表。専門機関と連携して調査継続
2026-10-09 13:00	第3報。サービスを再開。9月28日以降に期限を迎える払込票の支払期限を17日延長。漏えいの可能性・範囲は調査継続
2026-10-16	第4報。顧客約526万件・お届け先約5万件・加盟店約4,100件の持ち出しを確定。請求金額・債権残高・社員氏名の持ち出しは確認されず（第4報）

発表内容の整理

事実

不正に持ち出された情報（第4報で確定）

対象	期間	件数	項目
一部のお客さま	2018-10-01〜2026-09-28	約526万件（メール含む約49万件）	氏名、住所、電話、メール、商品明細、申込番号、受注日、与信番号など
一部のお届け先	2021-02-05〜2026-09-28	約5万件	氏名、住所、電話、送り状番号
一部の加盟店	2018-10-01〜2026-09-28	約4,100件	加盟店名、加盟店コード

クレジットカード情報、パスワード情報は含まれない。
第2報で可能性としていた請求金額・債権残高・社員氏名の持ち出しは確認されなかった。
対象者へは順次個別連絡。他のヤマトサービス（宅急便等）は通常利用可能。後払いサービスは10月9日に再開済み。

利用者へのお願い（第2報）

心当たりのない不審メール・SMSのURLアクセスや添付開封をせず、メール自体を削除する。
不審な電話・郵便物には慎重に対応する。

考察

第1報（サービス停止）から第2報（漏えい可能性の具体項目）まで数日で進んでおり、フォレンジックで「閲覧・持ち出し」の痕跡が出た段階の公表と読める。与信番号・債権残高・商品明細は、フィッシングだけでなく督促・架空請求の説得力を高める材料になる。件数が出るまで規模は評価しづらいが、後払いを使う通販利用者は広く注意対象になりうる。

関係しそうな既知の手口

考察

決済・債権管理系システムは、会員向けWebとは別系統でも、加盟店接続や社内業務端末経由の侵入口を持ちやすい。本件の経路は未公表のため特定できない。
物流ブランドを騙る詐欺は日常的に多い。後払い関連の実データが交ざると、本物との区別がさらに難しくなる。

利用者・運用者がいまできること

事実（発表に基づく注意）

ヤマト／クロネコを装った不審メール・SMSのリンクは開かない。公式の問い合わせ先は第2報記載のメール。
【2026-10-09追記】後払いサービスは10月9日13時に再開した。9月28日以降が期限の払込票は期限が17日延びるので、延長後の期限を確かめて支払う。利用者向けの問い合わせはフォーム（https://bizyamato.iqform.jp/form/atobarai/input）と電話0570-666-775、加盟店は0120-69-5090（第3報）。

考察（加盟店・EC運用者向け）

【2026-10-09追記】サービスは再開したが、漏えいの範囲はまだ確定していない。再開を「漏えいがなかった」と受け取らないよう、顧客への案内では、支払期限の延長と不審な連絡への注意を分けて伝える。
後払い決済の代替手段が必要な店舗は、停止期間中の決済導線を確認する。
自社顧客への案内で、ヤマトを騙る詐欺への注意を短く添えることを検討する（公式が個別連絡するまで安易に「あなたは対象」と断定しない）。

参考リンク

原文をGitHubで読む ↗