日本郵便のビジネスツールで不具合、送り状の発注元情報が他顧客から閲覧可能に

事案の概要データ

図解：この事故の構造

何が起きたのか

日本郵便は2026年10月13日、法人向けサービス「JP Business Tool Box」において、アプリケーションの不具合により送り状の発注元情報が他の利用者から閲覧できる状態になっていたことを公表しました。最大4,807件が対象です。

外部から攻撃を受けたわけではありません。システムの作り方の問題です。

法人向けサービスでの「他社の情報が見える」

この事案で問題になったのは、ある利用者が他の利用者の情報を見られてしまう状態です。複数の企業が同じシステムを共用する法人向けサービスでは、最も起きてはならない種類の不具合です。

送り状の発注元情報には、どの企業がどこへ荷物を送っているかが現れます。取引先の情報は、競合他社にとって価値のある情報です。

法人向けの共用システムでは、「自社のデータだけが見える」ことが大前提です。この前提が崩れると、サービスそのものへの信頼が揺らぎます。

10月に続いた「作りの問題」

2026年10月は、攻撃ではなく作りの問題による情報の露出が目立ちました。10月3日のリクルート「スタディサプリ」（機能の仕様の不備）、10月5日のOfferBox（画面に表示しない情報まで通信データに含まれていた）、10月13日の楽天モバイル（他者の支払い証明書が閲覧可能）、そして本件です。

共通するのは、プログラムは正しく動いているのに、設計上の想定が甘かったという点です。更新やパッチでは直りません。

有効なのは、開発時のテスト項目に「他人のデータが見えないか」を必ず入れることです。具体的には、異なるアカウントでログインして、他のアカウントのIDを指定したときに情報が返らないことを確認します。

自社でシステムを発注している中小企業なら、受け入れテストの際に「別の利用者のIDを入れて試してみましたか」と一言聞くだけでも違います。

時系列で見る経過

• （時期不明）アプリケーションの不具合により、送り状の発注元情報が他の利用者から閲覧可能な状態になる
• 2026年10月不具合を確認し、対応を実施
• 2026年10月13日最大4,807件が他顧客から閲覧された可能性を公表

中小企業が学ぶべきポイント

1. 法人向けの共用システムでは「自社のデータだけが見える」が大前提。崩れると信頼を失う。
2. 開発時のテスト項目に「他人のデータが見えないか」を必ず入れる。
3. システムを発注する側も、受け入れテストで別アカウントからの確認を求める。
4. 攻撃でなくても結果は同じ。作りの問題による漏えいが2026年10月は目立った。

出典・参考

• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope