ヤマト運輸「クロネコ代金後払い」に不正アクセス、なぜ即日サービス停止に追い込まれたのか。分かっている事実をたどる

まず初めに

荷物を届けるプロが、まさか「先に商品を渡して、後からコンビニで払ってね」という自分たちの決済サービスの方で足元をすくわれるとは。宅急便の遅配なら誰でも心当たりがあるが、決済システムへの不正アクセスとなると話は別だ。ヤマト運輸ほどの規模の会社が、原因も被害範囲もまだ「調査中です」としか言えない状態は、正直かなり歯がゆい。※個人の感想です

何が起きているのか

ヤマト運輸株式会社は2026年9月29日、EC通販サイトなどで商品を受け取った後に、コンビニエンスストアや郵便局などで代金を支払える「クロネコ代金後払いサービス」において、2026年9月28日に第三者による不正アクセスがあったと発表しました。

同サービスは、ヤマト運輸が購入者に代わって立て替え払いを行い、後日購入者へ請求書を発行して代金を回収する仕組みです。支払い方法にはコンビニ・郵便局のほか、auかんたん決済や銀行振込、クレジットカードなどが用意されています。

同社は不正アクセスを確認後、外部からのアクセスを制限するなどの対策を講じたうえで、同日22時28分にクロネコ代金後払いサービスを停止しました。現時点では、セキュリティの専門機関の協力を得て、不正アクセスの原因や影響範囲について調査を進めているとしています。

2026年9月29日時点で、個人情報などの漏えいの有無、不正アクセスの具体的な手法、影響を受けた利用者の件数はいずれも明らかにされていません。サービスの復旧時期も未定で、状況が分かり次第あらためて案内するとしています。なお、宅急便をはじめとする他のヤマト運輸のサービスへの影響はないと説明されています。

なぜ重要なのか

ヤマト運輸は日本国内最大手の宅配便事業者の一つで、クロネコ代金後払いサービスはEC通販サイトの決済手段として広く採用されています。通販サイトで「商品到着後にコンビニ払い」を選んだことがある人であれば、意識せずにこのサービスを利用している可能性があります。

今回の発表で目を引くのは、被害の実態が固まる前の速い段階でサービス自体を止めたという判断です。原因や影響範囲が分からない状況でまずサービスを止めるという対応は、被害拡大を防ぐ観点では妥当な判断といえます。一方で、発表時点では「調査中」という情報しかなく、利用者としては自分の情報が対象になっているかどうかを判断する材料がまだ乏しいのが実情です。

私たちへの影響

クロネコ代金後払いサービスをこれまでに利用したことがある人は、ヤマト運輸およびヤマトホールディングスの公式サイトでの続報を確認しておく必要があります。現時点では個人情報の漏えいが確認されたわけではありませんが、請求書に記載される氏名・住所などの情報を同サービスが扱っている以上、続報次第では対象になる可能性があります。

サービスが停止中のため、これから通販サイトでクロネコ代金後払いを選ぼうとしていた人は、別の支払い方法を選ぶ必要があります。また、ヤマト運輸やクロネコヤマトをかたる不審なメールやSMSが今後出回る可能性もあるため、心当たりのない請求連絡には注意しておくとよいでしょう。

初心者が知っておくべきこと

後払い決済あとばらいけっさいとは、商品を受け取った後に代金を支払う決済方法のことです。事業者が購入者に代わって一時的に代金を立て替え、後日購入者へ請求する仕組みで、クレジットカードを持たない人でも通販サイトを利用しやすくするために広く使われています。

不正アクセスふせいあくせすとは、本来その権限を持たない第三者が、パスワードの窃取やシステムの弱点を突くなどの方法でサーバーやシステムに侵入する行為です。決済サービスのように個人情報や取引情報を扱うシステムが標的になった場合、氏名・住所・支払い状況などの情報が漏えいするおそれがあります。

IT Postの見方――「原因不明でも、まず止める」は正しいが、説明はもっと急いでほしい

IT Postでは、原因や被害範囲が固まる前の段階でサービスそのものを止めたヤマト運輸の判断を、被害拡大を防ぐという意味では妥当な初動だったと考えます。「よく分からないから、とりあえず様子見」で稼働を続けるよりはよほどマシです。ただし、大手インフラ企業としての存在感を考えると、「調査中」という一言だけで数日単位の空白ができてしまうのは、利用者の不安を長引かせるだけだとIT Postでは考えます。日本中の通販利用者が知らず知らず使っている決済サービスだからこそ、原因が分かる前でも「今、何が分かっていて、何が分かっていないか」をこまめに発信してほしいとIT Postでは考えます。※個人の感想です

今後どうなりそうか

ヤマト運輸は、セキュリティ専門機関による調査結果を踏まえ、不正アクセスの原因や影響範囲、個人情報の漏えいの有無について今後発表する見通しです。現時点で確認できた出典の範囲では、個人情報保護委員会への報告状況やサービスの再開時期は明らかになっていません。IT Postでは、続報があれば改めて取り上げます。