佐川急便の不正アクセス｜最大約5,323万件流出の可能性、対象者と偽SMSへの注意点

01この記事でわかること

今回の件は、佐川急便と直接契約している会社だけの話ではありません。通販で買い物をして荷物を受け取っただけの人も、ふだん荷物を出している会社も、対象になる可能性があります。この記事では次のことを順に説明します。

• いつ、何が起きて、佐川急便がどう発表してきたか（第1報〜第5報の時系列）
• 外に出た可能性がある情報の中身と、含まれていない情報
• 自分や自社が対象かどうかの見当のつけ方
• 佐川急便を名乗る偽のSMS・メール・電話への備え方
• 荷物を出している会社（出荷人）がやること。個人情報保護委員会への報告や、顧客への案内
• まだ分かっていないことと、中小企業が同じ目にあわないための備え

3行でまとめると、こうなります。

1. 2026年6月21日〜9月30日に佐川急便に預けた荷物の、依頼主と届け先の氏名・住所・電話番号が外に出た可能性があります。件数は最大約5,323万件（重複を含む）です。
2. クレジットカード情報、パスワード、銀行口座の情報は含まれていません。10月23日時点で、不正利用などの二次被害は確認されていません。
3. いちばん気をつけたいのは、佐川急便を名乗る偽のSMS・メール・電話です。佐川急便は、集配の案内をSMSで送っていないとしています。

02何が起きたのか（全体像）

不正アクセスが見つかったのは、佐川急便のWebサイトの「お荷物問い合わせサービス」です。送り状の番号を入れると荷物の配送状況が分かる、よく使われるサービスです。佐川急便はこの仕組みを「インターネット貨物システム」と呼んでいます。

第4報によると、発覚したのは2026年9月30日（水）午前7時30分です。佐川急便はすぐにこのサービスへのアクセスを一部制限し、同じ日に第1報を出しました。翌10月1日には、調査の結果、個人情報が外に出た可能性があると発表しました（第2報）。同じ日の正午には、インターネット貨物システムへの外部からのアクセスを遮断しています。

不正アクセス（他人のシステムに許可なく入り込むこと）がいつ始まったのかは、まだ調査中です。佐川急便は、第三者の専門機関の協力を受けて調べているとしています。原因についても「調査中」で、第5報の時点で公表されていません。用語の説明は用語集：不正アクセスにあります。

影響の範囲について、佐川急便は第4報で次のように書いています。

• インターネット貨物システム以外のシステムや、グループ会社のシステムへの影響は確認されていない
• 外に出た可能性がある情報が、不正に使われた事実は確認されていない

荷物の集荷と配達は止まっていません。止まったのはWebの受付や問い合わせの一部です。お荷物問い合わせサービスは10月23日に再開しましたが、法人向けのAPI（ほかのシステムと自動でつなぐ仕組み）や集荷のWeb受付など8つのサービスは、10月23日時点でまだ止まっています。

なお、佐川急便は2026年7月にも「スマートクラブ」の個人情報漏えいを公表しています。FAQによると、7月の件はシステム不具合を直す作業での設定の誤りが原因で、第三者の不正アクセスではありませんでした。今回とは別の事案です。

03発表の時系列（第1報〜第5報）

佐川急便の発表は、Webサイトの「重要なお知らせ」に載っています。日付ごとに並べると、次のとおりです。

1. 9月30日（水）
   第1報

   お荷物問い合わせサービスへの第三者の不正アクセスを確認。アクセスを一部制限

2. 10月1日（木）
   第2報

   個人情報が外に出た可能性があると発表。対象の情報の種類と、止めた9つのWebサービスを公表

3. 10月1日（木）
   （対応）

   正午にインターネット貨物システムへの外部からのアクセスを遮断。個人情報保護委員会へ速報

4. 10月1日（木）
   第3報

   専用コールセンター（0120-28-3449）を開設

5. 10月8日
   FAQ更新

   個人情報保護委員会への報告のしかたについての質問を追加

6. 10月9日
   第4報

   発覚は9月30日午前7時30分。ほかのシステムへの影響、不正利用は確認されていない。確報は出荷人との連名で出す方向と発表

7. 10月23日（金）
   第5報

   お荷物問い合わせサービスを再開。最大約5,323万件（重複を含む）と公表。8つのサービスは停止を継続

8. 10月23日
   FAQ更新

   件数・停止サービス・報告の回答を更新。自社の出荷履歴の確かめ方を追加

第4報までは、件数を出していませんでした。理由として佐川急便は、同じ人の情報が何度も入っていたり、氏名や住所の書き方がばらばらだったりするため、確認が終わる前に出すと実際と違う数字が伝わるおそれがある、と説明していました。第5報で初めて、重複をある程度整理したうえでの最大件数が示されました。

04何が漏れた可能性があり、何が止まったのか

外に出た可能性がある情報

第5報では、対象の情報を次の3つに分けています。

法人の場合は、法人名と担当者名が対象になります。送り状データの期間が「約100日間」なのは、このシステムで送り状データを保管していた期間がそれだけだったためです。

含まれていない情報

• クレジットカード情報
• パスワード（スマートクラブのパスワードも含まれていない）
• 銀行口座の情報
• 手書きの送り状で預けた荷物の情報

荷物の中身（品名）や配送の履歴が含まれるかどうかは、FAQで「確認を進めている」とされ、まだ答えが出ていません。

「約5,323万件」の読み方

この数字は人数ではありません。佐川急便は、送り状データには相当な数の重複が残っていて、対象になる人の実際の人数を示すものではないと書いています。たとえば同じ人が期間中に10回荷物を受け取れば、その人の情報は送り状の数だけ入っています。

また、この件数は「すべての情報が実際に外に出たと確かめた件数」でもありません。外に出た可能性がある情報の、現時点での最大値です。数え方のルールとして、法人の情報でも担当者名など個人が分かる情報は数に入れ、法人名だけの記録は入れていません。(1)〜(3)の区分ごとの件数は、重複が多く実人数を正しく示せないとして、公表していません。

止まっているサービス

10月1日（第2報）に止めたのは9つのWebサービスです。このうち「インターネット貨物お荷物問い合わせ」だけが10月23日に再開し、次の8つは10月23日時点でまだ止まっています。再開の時期は決まっていません。

• インターネット貨物のお荷物問い合わせAPI（法人向けのシステム連携）
• 飛脚宅配便受付
• 飛脚往復便受付
• 飛脚往復便（ゴルフ）受付
• 商品回収返金サービス
• 受取先変更（配達予定からの事前受取先変更）
• 受取先変更（不在発生後の受取先変更）
• 回収くん

Web受付が止まっている集荷は、電話なら頼めます。最寄りの営業所に電話してください。スマートクラブが使えるかどうかは、FAQで「確認している」とされています。

05自分が対象か確かめる方法

いまのところ、自分の情報が入っているかを調べる仕組みはありません。佐川急便は、対象の人を特定できしだい順に案内するとしています。個別に連絡するのが難しい人については、Webサイトのお知らせで通知に代えるとしています。つまり、連絡が来ないからといって対象外とは限りません。

見当をつけるには、次の点を思い出してください。

• 6月21日〜9月30日に、佐川急便で荷物を受け取ったか。通販で買った商品が佐川急便で届いただけでも、届け先として対象になる可能性があります。
• 同じ期間に、佐川急便で荷物を出したか。スマートクラブに登録していなくても、依頼主として対象になる可能性があります。
• 送り状は手書きだったか。手書きの送り状で預けた荷物の情報は、今回の対象に入っていません。
• 佐川急便と運賃契約を結んでいるか、スマートクラブに登録しているか。どちらかに当てはまれば、送り状の期間とは別に、契約者・会員として対象になる可能性があります。

会社として荷物を出している場合は、使っている送り状発行システムで、対象期間の出荷履歴を確かめられます。FAQによると、Biz-LogiWEBは検索できる範囲が3か月以内なので、6月21日〜8月31日と9月1日〜30日の2回に分けて検索します。Biz-LogiWEBⅡは1か月以内なので、6月・7月・8月・9月の4回に分けます。e飛伝Ⅲの確かめ方もFAQに載っています。

06今すぐやること（個人・届け先の方）

今回外に出た可能性があるのは、氏名・住所・電話番号です。これだけでお金を引き出されることはありません。ただし、本物の宅配業者を名乗る連絡に、本物らしさを足す材料にはなります。「あなたの名前と住所を知っている」連絡ほど、信じてしまいやすいからです。

1. 佐川急便を名乗るSMSのリンクは開かない

佐川急便は、荷物の集配についてSMS（ショートメッセージ）で案内はしていないとしています。「ご不在のため持ち帰りました」「住所に不備があります」といったSMSが来ても、リンクは開かないでください。佐川急便のWebサイトには、実際に出回った偽メール・偽SMSの文面が50件以上載っています。SMSを使った詐欺は「スミッシング」と呼ばれます（用語集：スミッシング）。

2. メールのリンクからではなく、自分で公式サイトを開く

荷物の状況を知りたいときは、メールやSMSのリンクを使わず、ブックマークや検索から佐川急便の公式サイトを開き、送り状の番号で調べます。お荷物問い合わせサービスは10月23日から使えます。偽サイトに個人情報やカード番号を入れてしまう手口はフィッシングと呼ばれます。

3. 電話で個人情報を聞かれても答えない

佐川急便は、不審なメール・SMS・電話に注意するよう、第2報から毎回呼びかけています。「流出の件でお詫びの返金があります」「本人確認のためカード番号を」といった電話には応じず、いったん切ってください。今回の件の問い合わせ先は、佐川急便の専用コールセンター（0120-28-3449、午前9時〜午後5時、土日・祝日も受付）です。迷惑電話の対策は迷惑電話・詐欺対策でも紹介しています。

4. 身に覚えのない荷物や請求に注意する

佐川急便はFAQで、不審な連絡や請求、身に覚えのない荷物が届いた場合は慎重に対応してほしいとしています。頼んでいない荷物の代金を求められても、すぐに払わないでください。

5. スマートクラブの会員は、使い回しを直す

スマートクラブのパスワードは外に出ていません。ただ佐川急便は、ほかのサービスと同じIDとパスワードを使っている場合は変更を勧めています。メールアドレスと会員IDは対象になっているので、使い回しがあるならこの機会に直しましょう（パスワード管理ツール）。

もしリンクを開いて情報を入れてしまったときは、被害にあったときの対処を見て、カード会社や銀行への連絡を急いでください。

07荷物を出している会社がやること

通販や卸、メーカーなど、佐川急便で荷物を出している会社は「出荷人」と呼ばれます。今回は、出荷人が預けた顧客の情報も対象になっています。会社としての対応は、主に次の4つです。

1. 自社の出荷が対象期間にあったか確かめる

まず、6月21日〜9月30日に佐川急便で出した荷物の件数と、届け先が個人か法人かを把握します。前の節で書いたとおり、送り状発行システムの出荷履歴から確かめられます。手書きの送り状の分は対象外です。

2. 個人情報保護委員会への報告の方法を決める

佐川急便は10月1日、法令にもとづいて個人情報保護委員会へ速報を出しました。今後出す確報（くわしい報告）は、佐川急便がとりまとめ、佐川急便と出荷人の連名で出す方向で準備しているとしています。対象の出荷人には、件数など必要なことが確かめられしだい、手続きを案内するとしています。

連名に同意しない場合は、出荷人が自分で速報と確報を出すことになるとしています。連名にしても、出荷人が個別に報告することは妨げられません。すでに個別に報告した会社も、連名に切り替えられるとしています。

個人情報保護委員会のWebサイトでは、漏えい等の報告は、発覚日から3〜5日以内に速報、30日以内に確報（不正の目的で行われたおそれがある場合は60日以内）とされています。自社で報告するか連名にするかは、佐川急便の案内と委員会のWebサイトを見て、早めに決めておきましょう。個人情報保護法の基本は用語集：個人情報保護法、委員会については個人情報保護委員会にまとめています。

3. 顧客に「何が起きたか」と「何に気をつけるか」を伝える

顧客から見ると、「あの店で買ったら、宅配業者から情報が漏れた」という受け止め方になります。問い合わせが来る前に、自社のサイトやメールで次のことを知らせておくと、混乱を減らせます。

• 自社で佐川急便を使って発送していたこと、対象期間（6月21日〜9月30日）
• 対象の情報は氏名・住所・電話番号で、カード情報やパスワードは含まれないこと（佐川急便の発表どおり）
• 自社が送るメールやSMSの見分け方。たとえば「当社はSMSでリンクを送りません」「支払いをSMSで求めることはありません」
• 佐川急便の専用コールセンターの番号と、自社の問い合わせ窓口

佐川急便の発表にない内容（たとえば、自社の顧客の誰が対象か）は、確かめられるまで書かないことが大切です。

4. 自社を名乗る偽の連絡に備える

今回の情報は「どの会社から、誰あてに荷物が出たか」に結びつく可能性があります。そのため、宅配業者だけでなく、荷物を出した会社を名乗る偽メールにも注意が必要です。自社のメールが偽物と区別されるように、送信ドメイン認証（DMARCやSPF）を設定しておきましょう。社員あての偽メール対策はメールセキュリティ・訓練で探せます。

08佐川急便の対応と問い合わせ先

佐川急便がこれまでに発表した対応は次のとおりです。

• 9月30日：不正アクセスを確認し、お荷物問い合わせサービスへのアクセスを一部制限
• 10月1日：Webサービスの一部を停止。正午にインターネット貨物システムへの外部からのアクセスを遮断
• 10月1日：個人情報保護委員会へ速報。専用コールセンターを開設
• 警察にも相談（FAQ）
• 第三者の専門機関の協力のもとで、関係するシステムを中心に監視と検知の体制を強化（第4報）
• 10月23日：必要なセキュリティ対策と安全の確認を終えたとして、お荷物問い合わせサービスを再開。再開後も監視を続けるとしています

再発防止については、調査結果をふまえて、システムの構成、アクセスの制御、脆弱性の管理、権限の管理、監視の体制を点検し、見直すとしています（第4報）。

見舞金や補償については、10月29日時点の発表では触れられていません。

問い合わせ先は2つあります。

• 専用コールセンター：0120-28-3449（午前9時〜午後5時、土日・祝日も受付）。混雑してつながりにくい場合があるとしています
• 専用の問い合わせチャット（佐川急便の第5報・FAQのページから開けます）

集荷や配達の状況など、荷物そのものについては最寄りの営業所に問い合わせます。

09まだ分かっていないこと

10月29日時点で、佐川急便は次のことをまだ公表していません。

• 不正アクセスの原因と侵入の方法：第三者の専門機関と調査中です
• 不正アクセスが始まった日時：発覚は9月30日午前7時30分ですが、始まりは調査中です
• 対象になる人の実際の人数：重複の整理が続いていて、約5,323万件は人数ではありません
• 区分ごとの件数：送り状・運賃契約者・スマートクラブ会員それぞれの件数は公表されていません
• 荷物の中身（品名）や配送履歴が含まれるか：確認中です
• 止まっている8サービスの再開時期：未定です
• 対象者への個別の案内の時期と方法：順に案内するとしていますが、日程は出ていません
• 補償や見舞金の有無：発表にありません

攻撃したのが誰かについて、佐川急便は何も発表していません。この記事でも書きません。

10同じことを防ぐには（中小企業向け）

今回の件は、自社のシステムではなく、取引先（委託先）のシステムから顧客の情報が出た例です。中小企業にとっても、自社だけ守れば済む時代ではないことが分かります。取引先を経由した被害はサプライチェーン攻撃とも呼ばれます。備えを4つに分けて整理します。

1. 顧客の情報を「どこに預けているか」を一覧にする

宅配業者、ネットショップのシステム、メール配信、会計、クラウドの保管サービスなど、顧客の情報を預けている先を書き出します。何かあったときに「うちの顧客は関係あるか」をすぐに答えられるようになります。佐川急便の例でいえば、使っている送り状発行システムと、出荷履歴の調べ方まで分かっていると安心です。

2. 委託先で事故が起きたときの手順を決めておく

今回のように、委託先から「連名で報告するか、自社で報告するか」を聞かれることがあります。誰が判断し、誰が個人情報保護委員会や顧客に連絡するのかを、前もって決めておきます。漏えい等の報告には期限があるので、迷っている時間はあまりありません。事故対応を頼める会社はインシデント対応で探せます。

3. 「当社はこう連絡します」を顧客に伝えておく

事件が起きてからでは、偽の連絡のほうが先に届くことがあります。ふだんから「当社はSMSでリンクを送らない」「パスワードやカード番号を電話で聞かない」と案内しておくと、顧客が偽物に気づきやすくなります。

4. 持つ情報を減らし、保管期間を決める

今回の送り状データは、システムの保管期間である約100日分が対象でした。逆にいえば、保管期間を決めていたことで範囲がそこで区切られたともいえます。自社でも、不要になった顧客情報は消す、保管する期間を決める、といった基本が、事故が起きたときの被害の大きさを左右します。情報漏えいへの備えは情報漏えいの対策、中小企業向けの製品やサービスは中小企業向けにまとめています。

11よくある質問

12今後の予定と更新方針

佐川急便は、対象の件数や範囲、対象者への案内の方法が確かめられしだい、Webサイトで知らせるとしています。今後の発表で、とくに次の点に動きがあれば反映します。

• 重複を整理したあとの、対象になる人の実際の人数
• 対象者への個別の案内の開始
• 止まっている8サービスの再開
• 原因と再発防止策の公表
• 個人情報保護委員会への確報と、出荷人への連名報告の手続き
• 二次被害（不正利用）の有無

この記事は、佐川急便の「重要なお知らせ」とFAQ、個人情報保護委員会などの公的機関の発表だけをもとに更新します。報道だけの情報や、攻撃者についての推測は書きません。最新の情報は、佐川急便の公式サイトの「重要なお知らせ」で確かめてください。