佐川急便「お荷物問い合わせサービス」に不正アクセス、なぜ送り主・届け先情報が100日分も対象になったのか。第2報の中身を確かめる

まず初めに

宅配便を頼んだだけなのに、住所と電話番号が知らないところへ飛んでいったかもしれない。これは「荷物を送る・受け取る」という、誰もが何も疑わずにやっている日常の行為が、そのままデータ漏えいの入口になり得るという話だ。送り主も届け先も、自分が佐川急便のサイトにログインした覚えすらないのに対象になり得るのだから、利用者側の防ぎようがほぼ無い。こういう「自分は何もしていないのに巻き込まれる」系の漏えいこそ、企業側のセキュリティ投資がどれだけ利用者の生活に直結しているかを思い知らされる。※個人の感想です

何が起きているのか

佐川急便(SGホールディングスグループ)は2026年9月30日、荷物の配送状況を確認できる「お荷物問い合わせサービス」(ウェブサイト)に対し、第三者による不正アクセスがあったことを確認しました。同社は被害の拡大を防ぐため、同日中にサービスの一部利用を制限する措置を取りました。

10月1日に公表された「第2報」では、調査の結果、顧客の個人情報が外部に流出した可能性があることが明らかになりました。対象となるのは次の3種類の情報です。

1. 荷物の送り主・届け先の氏名(法人顧客の場合は会社名・担当者名)、住所、電話番号。対象期間は9月30日から遡って約100日分の累計データです。
2. 佐川急便と運賃契約を結んでいる法人・個人顧客の氏名、住所、電話番号。
3. 会員制サイト「スマートクラブ」の登録者の氏名、住所、電話番号、メールアドレス、会員ID。

一方、クレジットカード情報やパスワードは、流出の可能性がある情報に含まれていないとされています。本記事執筆時点で、侵入経路や流出件数の総数、流出した情報の実際の悪用の有無については公表されていません。

なぜ重要なのか

「お荷物問い合わせサービス」は、佐川急便を使って荷物を送った経験がある人、あるいは届け先として荷物を受け取ったことがある人であれば、佐川急便のサイトに会員登録していなくても対象になり得るサービスです。つまり、自分がサイトを直接利用していなくても、取引先や知人が自分宛てに荷物を送った記録を通じて、情報が対象に含まれる可能性があります。

対象期間が「9月30日から遡って約100日分」とされている点も見逃せません。単純計算で、2026年6月下旬以降に佐川急便で荷物を送った・受け取った利用者が広く対象に含まれる可能性があり、同時期に発表されたヤマト運輸「クロネコ代金後払い」への不正アクセス、日本郵便「郵便局アプリ」への不正アクセスと合わせると、大手の物流・郵便事業者への不正アクセスが短期間に相次いで公表されている状況です。

私たちへの影響

佐川急便を利用して荷物を送った、または届け先として荷物を受け取ったことがある人は、氏名・住所・電話番号が対象に含まれている可能性があります。クレジットカード情報は対象外とされているため、直接の金銭的被害につながる可能性は相対的に低いと考えられますが、氏名・住所・電話番号を使った不審な電話・SMS・メールによる詐欺(フィッシング・なりすまし電話など)には注意が必要です。

「スマートクラブ」の登録者は、氏名・住所・電話番号・メールアドレス・会員IDがまとめて対象に含まれているため、より狙われやすい情報が揃っている状態です。不審な連絡があった場合は、佐川急便を名乗っていても安易に個人情報を伝えないことが重要です。

よくある質問

Q. 自分の荷物の情報が対象に含まれているか確認する方法は?

A. 今回参照した情報源の範囲では、佐川急便は対象者への個別の確認方法を明示していません。公式サイトの「お知らせ」ページで続報を確認することが推奨されます。

初心者が知っておくべきこと

「不正アクセス」とは、本来アクセスする権限を持たない第三者が、サーバーやウェブサービスに侵入することです。今回のように、企業が運営するウェブサービス自体が侵入されると、そのサービスを直接利用していない人の情報(今回でいう荷物の送り主・届け先)まで、巻き込まれる形で対象になることがあります。

今回のような情報流出は、企業の情報システムを狙った不正アクセスの結果として起きる「セキュリティインシデントせきゅりてぃいんしでんと」の一種です。「情報流出の可能性がある」という表現は、現時点で攻撃者が実際に情報を持ち出したと断定されたわけではなく、調査の結果そのリスクが否定できないという意味で使われます。第1報から第2報・第3報へと、対象範囲が段階的に更新されていくのが一般的です。

IT Postの見方

IT Postでは、物流・郵便という生活インフラに近いサービスへの不正アクセスが相次いでいる状況を、利用者が「自分では防ぎようのないリスク」として重く受け止めるべきだと考えます。荷物の送り主・届け先として巻き込まれる利用者は、そもそもどのサービスを使うかを選ぶ機会すらありません。企業側には、流出件数の総数や侵入経路といった詳細情報を、できる限り早期に開示する姿勢が求められるのではないかというのがIT Postの見方です。

今後どうなりそうか

佐川急便からは、侵入経路の特定結果や流出件数の総数、再発防止策について、続報が発表される可能性があります。個人情報の漏えいが確認された場合、個人情報保護委員会への報告が法令上求められており、今後の対応状況が注目されます。IT Postでは、新しい発表があり次第あらためて取り上げます。