要点
発表された事実
- 日本郵便株式会社は2026年9月25日、「国際郵便物の調査請求Web受付サービス」で使うサーバーに、同日15時ごろ外部からの不正アクセスの可能性が発覚したとして、受付を停止した（9月25日のお知らせ）。
- 10月16日、調査の結果、同サービスのサーバーが不正アクセスの被害に遭い、登録された利用者情報約600件が第三者に閲覧可能な状態にあったと公表した。実際に閲覧されたかは確認できておらず、不正利用の形跡は確認されていない（10月16日の発表）。
- 同サービスのメールアカウントからスパムメールが送信されていた。送信先に、上記の登録情報は使われていない（同）。
- 報道によると、スパムメールは7月15日〜9月25日に不特定多数の宛先へ約52万件送信された。通信記録には件名・本文・添付ファイルの有無は残っていないという（読売新聞）。
わかっていないこと
- 侵入経路（サーバーの脆弱性か、メールアカウントの認証情報の窃取か）
- 7月15日から9月25日まで、スパム送信に気づかなかった理由
- 送られたスパムメールの内容（件名・本文・添付）
- 約600件の情報が実際に閲覧・取得されたか
- サービス再開の時期
関係しそうな既知の手口
- （考察）正規の業務用メールアカウントが乗っ取られ、スパムの送信に使われる手口は、日本経済新聞社の事案（社員のMicrosoft 365から取材先へなりすましメール約9000件）でも見られた（記事）。正規のドメインから届くため、送信ドメイン認証（SPF・DKIM・DMARC）では見分けられない。
概要
- 国際郵便物が届かないときに調査を申し込む日本郵便のWebサービスで、サーバーが不正アクセスを受け、同サービスのメールアドレスからスパムメールが送られていた。
- 報道では、7月中旬から9月下旬までの2か月以上で約52万件。発覚したのは9月25日だった。
- 登録された約600件の利用者情報も第三者が見られる状態だったが、実際に見られたかはわかっていない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-07-15（水） | 同サービスのメールアドレスから迷惑メールの送信が始まる（読売新聞） |
| 2026-09-25（金）15時ごろ | サーバーへの外部からの不正アクセスの可能性が発覚。受付を一時停止し、公表（日本郵便） |
| 2026-10-16（金） | 調査結果を公表。約600件の利用者情報が閲覧可能な状態だったことと、スパムメールの送信を確認（日本郵便）。送信は約52万件と報道（読売新聞） |
発表内容の整理
事実（日本郵便の発表）
| 項目 | 内容 |
|---|---|
| 対象サービス | 国際郵便物の調査請求Web受付サービス |
| 被害 | サーバーへの不正アクセス |
| 閲覧可能だった情報 | 約600件。差出人の氏名・住所・電話番号・メールアドレス、受取人の氏名・住所・電話番号・メールアドレス（受取人の電話とメールは任意項目）、調査対象郵便物のお問い合わせ番号、郵便種別・料金・差出郵便局など |
| 実際の閲覧・不正利用 | 閲覧の有無は確認できていない。不正利用の形跡は確認されていない |
| スパムメール | 同サービスのメールアカウントから送信。送信先に登録情報は使われていない |
| スパムの送信元 | kokusai-web-chousa@mail.post.japanpost.jp。不正アクセス検知後は使っていない |
| 対象者への連絡 | 準備が整い次第、順次 |
事実（報道）
- 読売新聞は、迷惑メールが7月15日〜9月25日に不特定多数の宛先へ約52万件送られ、通信記録には件名や本文、添付ファイルの有無などが残っていないと伝えた（読売新聞）。
考察
登録されていた利用者情報は約600件と、規模の小さいサービスだ。それでも、サーバーとメールアカウントを握られると、日本郵便の正規のドメインから約52万件のメールを送る踏み台になった。小さなサービスでも、組織のドメインの信用を背負っている（考察）。
送信が2か月以上続いたことも重い。1日あたりにすると平均7千件を超える（約52万件÷約72日、筆者の計算）。送信量の急増を見張る仕組みがあれば、もっと早く気づけた可能性がある（考察）。
関係しそうな既知の手口
事実（既知の知見・同種事例）
- 日本経済新聞社では、社員のMicrosoft 365アカウントが不正に使われ、取材先へのなりすましメール約9000件が送られた（記事）。
- JPCERT/CCは10月の注意喚起で、相次ぐ国内の不正アクセスについて対策の点検を呼びかけている（注意喚起）。
考察
- 正規アカウントからのスパムは見分けにくい：送信ドメイン認証は「差出人を偽ったメール」を見分ける仕組みで、本物のアカウントから送られたメールは通ってしまう。受け取った側は、差出人が日本郵便でも中身が安全とは限らない。
- 本件の侵入経路は不明：Webサーバーの脆弱性を突かれてメール送信機能を悪用されたのか、メールアカウントのパスワードが盗まれたのかで、対策は変わる。日本郵便は経路を公表していない。
- 9月25日の時期：発覚は、9月下旬から10月にかけて国内で不正アクセスの公表が相次いだ時期と重なる。ただし送信は7月から続いており、10月の一連の事案と同じ攻撃とは言えない。
利用者・運用者がいまできること
事実（発表に基づく）
- kokusai-web-chousa@mail.post.japanpost.jp から心当たりのないメールを受け取っていたら、添付ファイルや本文のURLを開かずに削除する（10月16日の発表）。
- 問い合わせはお客様サービス相談センター（0120-23-28-86、携帯電話から0120-5931-55、0570-046-666）全日8:00〜21:00（同）。
考察（利用者向け）
- 同サービスを使ったことがある人は、国際郵便の「調査結果」「関税」「再配達」などを装った連絡に注意する。問い合わせ番号や差出郵便局まで知られている可能性がある。
考察（運用者向け）
- 業務用のメールアカウントごとに、1日の送信量の上限と急増のアラートを設ける。
- 問い合わせフォームなど小規模なWebサービスほど管理が手薄になりやすい。組織のドメインを使うサービスは、規模にかかわらず棚卸しと脆弱性の点検の対象にする。