事案の概要データ
| 初報 | 2026年9月25日 |
|---|---|
| 調査結果の公表 | 2026年10月16日 |
| 対象サービス | 国際郵便物の調査請求Web受付サービス |
| 閲覧可能だった登録情報 | 約600件 |
| 対象情報 | 差出人・受取人の氏名・住所・電話・メール、問い合わせ番号、郵便種別・料金、差出郵便局など |
| 実際の閲覧 | 未確認（不正利用の形跡も現時点で未確認） |
| あわせて判明 | サービスのメールアカウントからスパムメールが送信されていた（送信先に上記登録情報は使われていないと確認） |
| 別事案 | 10月13日公表の「JP Business Tool Box」とは別の事案 |
図解：この事故の構造
何が起きたのか
日本郵便は2026年9月25日に国際郵便物の調査請求Web受付サービスへの不正アクセスを公表し、10月16日にその調査結果を公表しました。
登録情報 約600件が第三者から閲覧可能な状態だったことが判明しています。対象には、差出人と受取人の氏名・住所・電話番号・メールアドレス、問い合わせ番号、郵便種別・料金、差出郵便局などが含まれます。実際に閲覧された事実は未確認で、不正利用の形跡も現時点で確認されていません。
あわせて、このサービスのメールアカウントからスパムメールが送信されていたことも判明しました。ただし、送信先に上記の登録情報は使われていないと確認されています。
なお、10月13日に公表された「JP Business Tool Box」の不具合（最大4,807件が他顧客から閲覧可能）とは別の事案です。
国際郵便の調査請求が持つ情報
国際郵便物の調査請求とは、海外へ送った荷物が届かない・破損したといった場合に、調査を依頼する手続きです。
そのため登録情報には、差出人と受取人の両方の氏名・住所が含まれます。日本国内の差出人だけでなく、海外にいる受取人の情報も対象です。
件数は約600件と小規模ですが、1件あたりに含まれる情報の密度が高い種類のデータです。
「メールアカウントからのスパム送信」
この事案で注目したいのが、サービスのメールアカウントからスパムメールが送信されていた点です。
システムが使うメールアカウント——通知メールの送信などに使われるもの——が乗っ取られると、正規のドメインからメールを送れるようになります。受け取る側から見れば、それは本物の日本郵便からのメールです。
幸い、この事案では送信先に登録情報が使われていないことが確認されています。しかし、もし登録されていた宛先リストが使われていれば、「国際郵便の調査結果のお知らせ」を装ったフィッシングメールが、実際に調査請求を出した人へ届いていた可能性がありました。
システムが使うメールアカウントも、人が使うアカウントと同じく保護対象です。パスワードを初期設定のまま使っていないか、多要素認証がかかっているかを確認してください。
時系列で見る経過
- 2026年9月25日国際郵便物の調査請求Web受付サービスへの不正アクセスを公表（初報）
- 2026年9月〜10月調査を実施
- 2026年10月13日別事案として「JP Business Tool Box」の不具合を公表
- 2026年10月16日調査結果を公表。登録情報 約600件が閲覧可能な状態だったことと、メールアカウントからのスパム送信を発表
中小企業が学ぶべきポイント
- システムが使うメールアカウントも保護対象。初期パスワードのままにしない。
- 通知メール送信用のアカウントが乗っ取られると、正規ドメインから偽メールを送られる。
- 件数が小さくても、1件あたりの情報密度が高いデータがある。
- 初報を出したら、調査結果まで続報を出す。本件は約3週間で結果を公表した。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。