概要

2026年9月30日に「お荷物問い合わせサービス」への不正アクセスを確認し、アクセス制限などの対応と調査を開始。10月1日に個人情報流出の可能性を公表した。10月23日の第5報で、2026年6月21日～9月30日の荷物の送り状データ（依頼主・届け先の氏名、住所、電話番号）、運賃契約の契約者情報、スマートクラブ会員情報（氏名、住所、電話番号、メールアドレス、会員ID）の最大約5,323万件が流出した可能性があると発表。件数は重複を含む暫定値で、手書き送り状の情報、クレジットカード情報、パスワードは含まれない。同日、Webサイトの荷物問い合わせを再開したが、問い合わせAPIや飛脚宅配便受付など複数のサービスは停止が続いている。二次被害は確認されていない。

経緯

経緯情報は未登録です。

原因

「お荷物問い合わせサービス」への不正アクセス。侵入手口の詳細は記事中で明らかにされていない。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

影響を受けたユーザー数

不明

サービス停止

あり

金銭的被害

不明

対象システム

お荷物問い合わせサービス、スマートクラブ

漏洩した情報

• 可能性あり送り状データ（2026年6月21日～9月30日の荷物の依頼主・届け先の氏名、住所、電話番号）
• 可能性あり運賃契約の契約者情報（氏名、住所、電話番号）
• 可能性ありスマートクラブ会員情報（氏名、住所、電話番号、メールアドレス、会員ID）

最大約5,323万件（同一人物の重複を含む）の個人情報が流出した可能性。荷物問い合わせサービスが停止し、10月23日にWebサイトでの問い合わせを再開したが、お荷物問い合わせAPI、飛脚宅配便受付、飛脚往復便受付、商品回収返金サービス、受取先変更、回収くんなどは引き続き停止。二次被害は未確認。

対応

アクセス制限などの対応と調査を開始し、第三者機関の協力を得て調査と名寄せを継続。システムの点検と必要なセキュリティ対策を実施し、10月23日にWebサイトの荷物問い合わせを再開した。

• アクセス制限
• 第三者機関と連携した調査・名寄せ
• システム点検とセキュリティ対策の実施
• サービスの一時停止と段階的な再開
• 佐川急便を装った迷惑メールへの注意喚起

教訓・対策

• 荷物追跡のような公開型の照会サービスは、大量の個人情報への入口になり得るため、アクセス制御と異常検知が重要
• 重複を含む大規模データの影響範囲特定には名寄せなど継続的な調査が必要

参考資料

1. 佐川急便、最大約5,323万件の個人情報流出の可能性「お荷物問い合わせサービス」を再開
   サイバーセキュリティ.com公開日: 2026-10-23報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

佐川急便

関連するインシデント

関連付けられたインシデントはありません。