佐川急便「お荷物問い合わせサービス」への不正アクセス、最大約5323万件の個人情報流出の可能性

佐川急便は10月23日、Webサイトの「お荷物問い合わせサービス」への不正アクセスに伴う個人情報流出について、調査状況を公表した。流出した可能性のある個人情報は、重複データを一定程度整理したうえで最大約5323万件に上るという。また、停止していた「インターネット貨物のお荷物問い合わせ」を同日、再開した。

同社は9月30日、「お荷物問い合わせサービス」への不正アクセスを確認したと公表。その後の調査で個人情報が外部に流出した可能性が判明し、一部のWebサービスを停止していた。

流出した可能性のある個人情報は最大約5323万件

佐川急便は、これまで進めてきた重複データの整理を踏まえ、流出した可能性のある個人情報の最大件数を公表した。最大約5323万件に上るが、重複を一定程度整理したうえでの最大値であり、対象者の実人数を示すものではないとしている。

特に、送り状データには相当数の重複が含まれているため、現時点では対象となる利用者数を正確に示すことは難しいという。なお、手書きの送り状で受け付けた荷物の情報は、流出対象に含まれていない。

また、現時点で本件に関連する個人情報の不正利用などの二次被害は確認されていない。対象情報にクレジットカード情報やパスワードは含まれていないことも、改めて案内している。

対象は6月21日から9月30日までの荷物情報など

流出した可能性がある情報は、次の通り。

• 2026年6月21日から9月30日までに預かった荷物の送り主・届け先の氏名、住所、電話番号
• 運賃契約を締結している法人・個人顧客の氏名、住所、電話番号
• Webサービス「スマートクラブ」の登録者の氏名、住所、電話番号、メールアドレス、スマートクラブの会員ID

「お荷物問い合わせサービス」は再開、APIやWeb受付は停止継続

佐川急便は、セキュリティ対策と安全性の確認が完了したとして、「インターネット貨物のお荷物問い合わせ」を10月23日に再開した。従来通り、Webサイト上で利用できる。再開後もシステム監視を継続し、安全かつ安定したサービスの提供に努めるとしている。

一方、次のサービスは引き続き停止している。再開時期は未定で、決まり次第、改めて告知する。

• インターネット貨物のお荷物問い合わせAPI
• 飛脚宅配便受付
• 飛脚往復便受付
• 飛脚往復便（ゴルフ）受付
• 商品回収返金サービス
• 受取先変更（配達予定からの事前受取先変更）
• 受取先変更（不在発生後の受取先変更）
• 回収くん

Web集荷関連サービスが停止している間も、電話での集荷依頼は受け付けている。荷物の集荷・配達は、これまで通り通常運営を続けている。

9月30日に不正アクセスを確認、10月1日に流出の可能性を公表

佐川急便は9月30日、「お荷物問い合わせサービス」への第三者による不正アクセスを確認。被害拡大を防ぐため、アクセス制限と一部Webサービスの停止を実施。その旨、第一報として公表した。

翌10月1日には、調査の結果、個人情報が外部に流出した可能性があると公表。荷物の送り主・届け先の情報、運賃契約先の情報、スマートクラブ登録者の情報が対象となる可能性があると説明していた。また、同日、専用の問い合わせ窓口（コールセンター）を開設。専用の問い合わせ用チャットボットも設置している。

今回の発表は、その後の調査と重複情報の整理を踏まえた最新状況の公表にあたる。佐川急便は今後も、対象となる利用者の特定や個別案内に向けた確認を進めるとしている。

また、同社を装った不審なメール、SMS、電話などに注意し、記載されたURLへのアクセスや個人情報の入力・提供をしないよう呼びかけている。

同社は今回の事案を厳粛に受け止め、第三者専門機関による調査結果を踏まえ、システムのアクセス管理や監視体制の強化など、情報セキュリティ対策の見直しを進めるとしている。