要点
発表された事実
- 佐川急便は2026年10月23日の第5報で、Webサイトの「お荷物問い合わせサービス」への第三者による不正アクセスにより流出した可能性がある個人情報が、現時点で最大約5323万件（重複を含む件数）になると発表した（佐川急便 第5報）。
- この件数は重複を一定程度整理したうえでの最大値で、特に送り状データには相当数の重複が残っている。対象者の実人数ではなく、すべてが実際に外部へ流出したと確認された件数でもない（同）。
- 対象は、(1) 2026年6月21日〜9月30日（約100日間）に預かった荷物の送り状データ（依頼主・届け先の氏名、住所、電話番号）、(2) 運賃契約者情報（氏名、住所、電話番号）、(3) Webサービス「スマートクラブ」の会員情報（氏名、住所、電話番号、メールアドレス、会員ID）。クレジットカード情報とパスワードは含まれない。手書きの送り状の情報も対象外（同）。
- 不正アクセスの発覚は2026年9月30日午前7時30分。10月1日正午にインターネット貨物システムへの外部からのアクセスを遮断した。他のシステムやグループ会社のシステムへの影響は確認されていない（佐川急便 第4報）。
- 10月23日に「インターネット貨物のお荷物問い合わせ」を再開した。問い合わせAPI、飛脚宅配便受付、飛脚往復便受付、飛脚往復便（ゴルフ）受付、商品回収返金サービス、受取先変更（2種類）、回収くんは停止が続く。二次被害は確認されていない（第5報）。
- 10月1日に個人情報保護委員会へ速報を出し、確報は出荷人（配送を委託している企業など）との連名で出す方向で準備している（第5報）。
わかっていないこと
- 侵入経路と手口（脆弱性の悪用か、認証情報の悪用かなど）
- 不正アクセスが始まった日時（第4報の時点で調査中）
- 実際に外部へ持ち出されたデータの範囲（5323万件は「可能性」の最大件数）
- 名寄せ後の実人数と、送り状・運賃契約者・スマートクラブの区分別件数（区分別は非公表）
- 荷物の品名や配送履歴が対象に含まれるか
- 停止中のAPI・集荷受付などの再開時期
- 出荷人との連名による確報の内容と時期
関係しそうな既知の手口
- （考察）荷物の追跡番号を入れると配送状況を返す公開サービスは、外部から何度でも問い合わせできる入口になる。JPCERT/CCは国内で相次ぐ不正アクセスについて、公開されたAPIの悪用やアクセス制御の不足による情報取得の例を挙げて注意を呼びかけている。ただし、佐川急便の件でこうした手口が使われたかどうかは発表されていない。
概要
- 佐川急便の荷物追跡などを担う「インターネット貨物システム」に不正アクセスがあり、約100日分の送り状に書かれた依頼主と届け先の氏名・住所・電話番号が流出した可能性がある。
- 10月23日の第5報で初めて件数が示され、重複を含めて最大約5323万件とされた。
- 荷物を受け取っただけの人も届け先として対象になりうる。侵入経路はまだ公表されていない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-06-21〜09-30 | 流出の可能性がある送り状データの対象期間（システムでの保管期間、約100日間）（第5報） |
| 2026-09-30（水）7:30 | 「お荷物問い合わせサービス」への第三者による不正アクセスが発覚。アクセスを一部制限し、第1報を公表（第1報・第4報） |
| 2026-10-01（木） | 第2報・第3報で個人情報流出の可能性とWebサービスの停止、専用コールセンター開設を公表。正午にインターネット貨物システムへの外部アクセスを遮断。個人情報保護委員会へ速報（第4報・第5報） |
| 2026-10-09（金） | 第4報。他システム・グループ会社への影響は確認されていないと公表。件数は確認前のため非公表（第4報） |
| 2026-10-23（金） | 第5報。最大約5323万件（重複を含む）を公表し、お荷物問い合わせサービスを再開（第5報） |
発表内容の整理
事実（佐川急便の発表）
| 項目 | 内容 |
|---|---|
| 対象システム | 「お荷物問い合わせサービス」（インターネット貨物システム） |
| 件数 | 現時点で最大約5323万件（重複を含む。実人数ではない） |
| 送り状データ | 2026年6月21日〜9月30日分。依頼主・届け先の氏名、住所、電話番号 |
| 運賃契約者情報 | 氏名、住所、電話番号 |
| スマートクラブ会員情報 | 氏名、住所、電話番号、メールアドレス、会員ID |
| 対象外 | クレジットカード情報、パスワード、手書き送り状の情報、法人名など個人を識別しない情報のみの記録 |
| 二次被害 | 確認されていない |
| サービス | お荷物問い合わせは10月23日再開。API・集荷受付など8サービスは停止中。集荷・配達は継続 |
| 届け出 | 個人情報保護委員会（10月1日速報）。確報は出荷人と連名の方向 |
| 窓口 | 専用コールセンター 0120-28-3449（9:00〜17:00、土日祝含む） |
考察
この件の特徴は、被害者の多くが佐川急便の会員ではない点だ。通販で買い物をして佐川急便で届いた人は、自分で何も登録していなくても、届け先として氏名・住所・電話番号が対象に入りうる。通販事業者などの出荷人にとっても、顧客の情報を委託先経由で失ったことになり、個人情報保護委員会への報告を連名にする調整が続いている（考察）。
氏名・住所・電話番号と「最近この住所に荷物が届いた」という組み合わせは、宅配業者を名乗る不在通知SMSや電話の材料として使いやすい。会社も不審なメール・SMS・電話への注意を呼びかけている（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは2026年10月8日（9日更新）、国内組織で相次ぐ不正アクセスについて注意喚起を出した。公開アプリの解析によるAPIのエンドポイントやキーの特定、内部APIの不正な呼び出し、NoSQLインジェクションなどの手口を挙げ、APIのレート制限やエンドポイントごとのアクセス制御を求めている（JPCERT/CC）。
考察
追跡番号による問い合わせだけでは、1件ずつ配送状況が見えるにとどまるはずだ。約100日分の送り状データ全体が対象になったことからは、画面の裏にあるデータベースや管理機能にまで手が届いた可能性がある。ただし発表は「流出した可能性」の範囲を示したもので、実際の取得範囲や手口は明らかになっていない（考察）。
利用者・運用者がいまできること
- 佐川急便を名乗る不在通知のSMSやメールのリンクを開かない。配送状況は公式サイトやLINE、最寄りの営業所で確かめる。
- スマートクラブのパスワードは対象外だが、他のサービスと同じものを使っている場合は変更しておく。
- 佐川急便に配送を委託している事業者は、同社からの連名報告の案内を確認し、自社の顧客への説明を準備する。