【解説】佐川急便で最大5323万件流出の可能性
出荷する店舗は顧客対応の準備を
佐川急便は2026年10月23日、9月30日に確認した「お荷物問い合わせサービス」への不正アクセスについて第5報を公表し、個人情報が流出した可能性のある件数が最大で約5,323万件にのぼると明らかにしました。あわせて、ウェブでの荷物問い合わせを再開しています。対象には、通販の出荷で発行された送り状の情報も含まれます。
何が変わる？
第5報で示された、流出の可能性がある情報は次の3種類です。
- 送り状の情報：2026年6月21日から9月30日までに預かった荷物の、依頼主と届け先の氏名・住所・電話番号
- 運賃契約のある顧客の情報：契約者の氏名・住所・電話番号
- Webサービス「スマートクラブ」の会員情報：氏名・住所・電話番号・メールアドレス・会員ID
約5,323万件は重複をある程度整理したうえでの現時点の最大値で、実際の人数ではなく、調査の進み方によって変わる可能性があるとされています。手書きの送り状で預けた荷物は対象外で、クレジットカード情報やパスワードは含まれていません。発表の時点で、本件による不正利用などの被害の報告はないとしています。
サービス面では、ウェブの「お荷物問い合わせ」は再開しましたが、お荷物問い合わせのAPI、配達予定からの受取先変更や不在後の受取先変更、ウェブでの飛脚宅配便の受付など一部のサービスは引き続き停止しています。対象となる可能性のある顧客には、情報を整理したうえで順次案内するとしています。
EC事業者への影響
この期間に佐川急便で商品を出荷していた店舗では、自社のお客様の氏名・住所・電話番号が、届け先として対象に含まれている可能性があります。店舗自身のシステムが攻撃されたわけではありませんが、お客様から見れば「その店で買った荷物の情報」です。
- お客様からの問い合わせ：報道を見たお客様から「自分の情報は大丈夫か」と店舗に連絡が来ることが考えられます。答え方を決めていないと、担当者ごとに説明がばらつきます。
- なりすましの連絡：佐川急便は、流出した情報を悪用し、同社を装った迷惑メールやSMS、不審な電話が届くおそれがあるとして注意を呼びかけています。氏名や住所が正しく書かれた「不在通知」風のSMSは見分けにくく、店舗名をかたる連絡にも注意が必要です。
- 配送まわりの運用：問い合わせAPIや受取先変更が止まっているため、配送状況を自動で取り込む仕組みを使っている店舗では、連携の方法によっては表示が更新されないことがあります。お客様が自分で受取先を変えられないことによる問い合わせも増えやすくなります。
- 法人として契約している店舗：運賃契約のある顧客の契約者情報も対象に含まれているため、自社あての案内や不審な連絡にも気を配る必要があります。
10月にはカートの会員情報の流出も公表されており（関連の解説）、物流やカートなど外部サービスを経由した情報の扱いを見直すきっかけにもなります。
今やるべきこと
- 6月21日〜9月30日に佐川急便で出荷した件数と、送り状をシステムで発行していたか手書きだったかを確認する
- お客様から問い合わせがあったときの回答文（事実関係、佐川急便の専用窓口、不審な連絡への注意）を用意し、担当者で共有する
- サイトやメルマガで、店舗からSMSで支払いや個人情報の入力を求めることはない、といった注意喚起を出すか検討する
- 配送状況の自動取り込みや追跡リンクが正しく動いているかを確認し、止まっている場合は手動での案内に切り替える
- 佐川急便からの続報や個別の案内を確認し、自社のプライバシーポリシーや委託先管理の観点から、お客様への説明や報告の要否を確認する
