日本郵便「郵便局アプリ」に不正アクセス、19名分・69件の情報を不正取得。公表内容と対応を確かめる

まず初めに

郵便局アプリの不正取得と、調査請求ウェブ受付サービスの不正アクセスの疑い。名前が似ていても、確認されたことまで一緒くたにすると話が迷子になる。郵便局アプリの方は19名分・69件の情報の不正取得が判明し、調査請求の方は疑いを検知してサービスを停止した段階だ。確定した事実と調査中の情報は、別々に読める形で示してほしい。利用者に読解パズルを渡しても、安全対策にはならない。※個人の感想です

何が起きているのか

日本郵政株式会社と日本郵便株式会社は2026年9月29日、スマートフォン向け「郵便局アプリ」への不正アクセスを公表しました。同アプリの会員サービス「ゆうID」に関する顧客情報など、合わせて69件(19名分)が不正に取得されたことが判明したとしています。9月25日22時30分ごろ、ゆうIDと郵便局アプリの緊急メンテナンスを実施し、必要な調査と対策の上で9月26日にサービスを再開しました。

不正取得された情報は、次の3種類です。対象となる項目は該当者により異なります。

• ゆうID会員情報：氏名、住所、生年月日、性別、電話番号、メールアドレス。勤務先情報、家族状況、住所録登録情報は登録されている場合に含まれます。
• ゆうIDの住所録に登録された情報：氏名、住所。企業名、電話番号、メールアドレスは登録されている場合に含まれます。
• 郵便局アプリで作成した送り状情報：差出人と受取人の情報、追跡番号、品名、発送・配達予定情報。差出人の氏名・住所・電話番号、受取人の氏名・住所が挙げられ、企業名やメールアドレス、受取人の電話番号は登録されている場合に含まれます。

日本郵政・日本郵便は、9月29日時点で、不正に取得された情報が実際に悪用された形跡は確認されていないとしています。

これとは別に、同じ9月25日の午後3時ごろ、国際郵便物の調査を求める試行サービス「調査請求ウェブ受付サービス」で使用するサーバーにも、外部からの不正アクセスの疑いが発覚しました。このサービスは、神奈川県・山梨県の郵便局(簡易郵便局を除く)から差し出された国際スピード郵便(EMS)・書留郵便・小形包装物・印刷物などを対象に試行運用していたもので、日本郵便は同日中に受け付けを停止しました。原因や個人情報流出の有無を含む影響範囲は、本記事執筆時点で調査中とされており、郵便局アプリの件との関連についても公表されていません。

なぜ重要なのか

「ゆうID」は、日本郵便が提供するオンライン認証サービスの会員IDで、郵便局アプリをはじめとする複数のサービスで共通して使われています。今回は会員情報・住所録・送り状情報が不正取得の対象です。氏名や住所に加え、登録状況によって勤務先情報や家族状況なども含まれますが、全ての対象者について同じ項目が取得されたという意味ではありません。

また、日本郵便は国内で広く使われる郵便・物流インフラであり、同じ時期に佐川急便「お荷物問い合わせサービス」やヤマト運輸「クロネコ代金後払い」でも不正アクセスが発表されています。生活に欠かせない配送・郵便サービスを狙った不正アクセスが、短期間に相次いで公表される状況です。

私たちへの影響

不正取得が確認されたのは19名分・69件で、郵便局アプリやゆうIDの全利用者が対象と発表されたわけではありません。対象となる情報の項目は該当者により異なります。情報量が多いため、これらを組み合わせた、より精度の高いなりすまし詐欺・フィッシングに注意が必要です。

国際郵便物の調査請求を、神奈川県・山梨県の対象郵便局から試行サービスとして行った人は、調査請求ウェブ受付サービスの続報を確認することが望まれます。本記事執筆時点では、このサービス側の個人情報流出の有無は確定していません。

よくある質問

Q. 自分の「ゆうID」情報が対象の19名に含まれているか確認するには?

A. 今回参照した情報源の範囲では、日本郵政・日本郵便は、準備が整い次第、該当者へ書面等で個別に連絡するとしています。通知が完了したという発表ではありません。公式サイトのプレスリリースで続報を確認することが推奨されます。

初心者が知っておくべきこと

「ゆうID」とは、日本郵便が提供する会員制サービスの共通ログインIDです。郵便局アプリをはじめ、日本郵便が提供する複数のオンラインサービスで、同じIDとパスワードを使ってログインできる仕組みになっています。1つのIDが複数サービスに紐づいているため、情報が漏えいした際の影響範囲が広くなりやすい点が特徴です。

「緊急メンテナンス」とは、通常の計画的なシステム保守とは異なり、障害や不正アクセスなど予期しない問題に対応するため、急きょサービスを一時停止して行う作業を指します。今回のような不正アクセスの発表は、広い意味での「セキュリティインシデントせきゅりてぃいんしでんと」として扱われます。

IT Postの見方

IT Postでは、同じ日に発覚した2件の不正アクセスについて、関連の有無を含めた調査結果をできるだけ早く、分かりやすい形で公表することが利用者の不安を減らすうえで重要だと考えます。特に「ゆうID」のように複数サービスに共通するIDを扱う基盤ほど、1件の侵入が広い範囲に波及しやすいという性質があります。郵便・物流という生活インフラを担う事業者には、調査の進捗をこまめに開示する姿勢が、他の民間企業以上に求められるのではないかというのがIT Postの見方です。

今後どうなりそうか

日本郵政・日本郵便からは、調査請求ウェブ受付サービス側の原因究明の結果や、2件の不正アクセスの関連の有無について、続報が発表される可能性があります。個人情報の漏えいが確認された場合は、個人情報保護委員会への報告が法令上求められています。IT Postでは、新しい発表があり次第あらためて取り上げます。