佐川急便「お荷物問い合わせサービス」への不正アクセス、最大約5,323万件 送り状100日分の依頼主と届け先が対象

事案の概要データ

図解：この事故の構造

何が起きたのか

佐川急便は2026年10月23日、同社Webサイトの「お荷物問い合わせサービス（インターネット貨物システム）」への不正アクセスについて第5報を公表し、流出した可能性のある個人情報が最大約5,323万件にのぼると発表しました。

発覚したのは2026年9月30日（水）午前7時30分。同日中に第1報を出し、サービスへのアクセスを一部制限しています。翌10月1日正午には、インターネット貨物システムへの外部からのアクセスを遮断しました。

対象となる情報は3種類です。

①お預かりした荷物の送り状データ。 2026年6月21日から9月30日までの約100日間について、依頼主と届け先の氏名、住所、電話番号。

②運賃契約を締結している顧客の契約者情報（顧客リスト）。 氏名、住所、電話番号。

③Webサービス「スマートクラブ」の会員情報。 氏名、住所、電話番号、メールアドレス、会員ID。

クレジットカード情報とパスワードは含まれていません。また、手書きの送り状で預かった荷物の情報は対象外です。

荷物の集荷・輸送・配達業務は止めていません。10月23日に「インターネット貨物のお荷物問い合わせ」は再開しましたが、飛脚宅配便受付、商品回収返金サービス、受取先変更など8つのWebサービスは停止が続いています。

5,323万件は「のべ件数」であって、人数ではない

この事案でいちばん丁寧に読むべきなのは、件数についての注記です。第5報は、数字を出した直後にこう書いています。

「※上記は、流出した可能性のある個人情報について、これまでに重複した情報を一定程度整理したうえで算出した現時点での最大件数です。特に送り状データには、相当数の重複が含まれているため、対象となる方の実人数を示すものではありません」

さらに、①②③の区分別の件数についても、こう書いて公表していません。

「同一のお客さまの情報が重複して含まれているものが多数あり、対象となる方の実人数を適切に示すことが困難であるため、公表しておりません」

なぜ重複するのか。考えれば当たり前です。宅配便は、同じ人が何度も使います。 100日間に10回荷物を受け取った人は、送り状データの上では10件です。ネット通販をよく使う人なら、もっと多いかもしれません。

しかも、同じ人でも表記が違えば別の件として数えられます。 「山田太郎」と「ヤマダタロウ」、「1-2-3」と「一丁目二番三号」。第5報も「氏名や住所の表記が異なる場合があります」と書いています。

だから同社は「名寄せ」（同一人物の情報をまとめる作業）を進めています。それでも「なお相当数の重複が残っている」。5,323万件は、名寄せの途中経過の数字です。

本サイトでは、「のべ件数」「項目別の件数」「実人数」は別のものとして扱うという方針を取っています。この事案は、公表する側がその区別を最も丁寧に書いた例です。5,323万件という数字に驚くのは自然ですが、日本の人口の4割が被害に遭ったわけではありません。

中小企業が公表文を書くときに真似できるのは、この一文です。「この件数は◯◯であり、△△を示すものではありません」。 数字を出すときに、その数字が何を数えたものかを添える。これだけで、誤解も、後からの訂正も減ります。

保管期間が、漏えいの範囲を決めた

対象期間についての注記に、短いけれど非常に重い一文があります。

「対象期間：2026年6月21日から9月30日までの間（約100日間）※当該システムの送り状データの保管期間に基づく」

つまり、システムが送り状データを100日分だけ持っていたから、漏えいも100日分で済んだということです。もし1年分持っていれば、対象は3.6倍になっていました。5年分なら18倍です。

ここが、中小企業にとっていちばん実務的な論点です。持っているデータの量が、そのまま漏えいの上限になります。

考えてみてください。自社のパソコンやクラウドに、何年前までの顧客データが残っているでしょうか。

受注データ、見積書、請求書、問い合わせメール、名刺データ、過去のキャンペーン応募者リスト、退職した社員が作った営業先リスト。ほとんどの会社で、消した記憶がないはずです。容量に余裕があるので、消す理由がない。

しかし、使っていないデータは、価値を生まずにリスクだけを生み続けます。 10年前の顧客リストは売上を作りませんが、漏れれば10年前の顧客に謝ることになります。

やることは2段階です。

①保存期間を決める。 「受注データは法定保存期間に合わせて◯年」「問い合わせメールは2年」「キャンペーン応募者は抽選終了後3か月」。業務ごとに決めて、紙に書く。決算書類など法律で保存期間が定まっているものは、それに従います。

②その期間を過ぎたものを、実際に消す。 ここが抜けます。ルールを決めただけで消していない会社が大半です。年1回でいいので、カレンダーに「データ棚卸し」の日を入れてください。

佐川急便のケースは、①②ができていた会社の姿です。保管期間が100日と決まっていて、実際に100日分しか残っていなかった。だから被害が100日分で止まりました。

漏れたのは「自社の顧客」ではない人の情報だった

もう1つ、この事案の構造を見ておきます。漏えいした送り状データに含まれるのは、依頼主と届け先です。

届け先の多くは、佐川急便の顧客ではありません。 ネット通販で商品を買った人、贈り物を受け取った人、取引先から書類を受け取った人。その人たちは佐川急便と契約していませんし、佐川急便にデータを預けた覚えもありません。

そして、依頼主の多くは事業者です。EC事業者、メーカー、卸売業者。彼らが佐川急便に配送を委託したので、その顧客の氏名・住所・電話番号が佐川急便のシステムに入りました。

だから第5報は、個人情報保護委員会への報告についてこう書いています。

「今後必要となる確報については、当社が報告内容を取りまとめ、当社と出荷人さま（当社に配送業務をご委託いただいているお客さま）との連名で報告する方向で準備を進めております」

「連名での報告にご同意いただけない出荷人さまにつきましては、出荷人さまご自身による報告（速報・確報）が必要となる場合があります」

これは、佐川急便を使っていた全国の事業者に関係する話です。 自社のシステムは何も侵害されていなくても、自社の顧客の情報が漏れた以上、自社も報告の当事者になります。

中小企業がここから持ち帰るべきことは、3つあります。

①配送を委託している=顧客情報を渡している、という自覚を持つ。 送り状に書いた顧客の住所と電話番号は、運送会社のシステムに入ります。

②運送会社から連絡が来たら、連名報告に応じるかを判断する。 連名のほうが手間は少なくて済みます。ただし「自社でも報告する」選択肢は残っています。

③自社の顧客への説明を、自社の名前で用意する。 「佐川急便の事故なので当社は関係ない」とは言えません。顧客は自社を信じて住所を書いています。

なお佐川急便は「個別のご案内が困難なお客さまにつきましては、本お知らせの公表をもって通知に代えさせていただきます」としています。つまり、多くの届け先には個別連絡が届きません。 だからこそ、出荷人である事業者が自社の顧客に伝える意味があります。

第4報は「件数を出さない理由」を書いた

公表の進め方についても、記録しておきます。この事案は9月30日から10月23日まで、5回に分けて公表されました。

注目したいのは、10月9日の第4報です。この時点で、まだ件数は出ていません。そして第4報は、出さない理由を書いています。

「確認が完了していない段階の件数を公表すると、実際とは異なる情報が伝わるおそれがあるため、第三者専門機関の協力のもと、対象となる件数および範囲の確認を進めております」

これは珍しい記述です。多くの公表文は「調査中です」で終わります。第4報は、なぜ調査中なのか、何を調べているのか（同一顧客の整理、個人と事業者の区分、送り主ごとの整理）まで書いています。

さらに第4報は、件数以外で言えることを書いています。 「他のシステムおよびグループ会社のシステムへの影響は確認されておりません」「流出した可能性のある情報が不正に利用された事実は確認されておりません」。

件数が出せない期間にも、出せる情報はあります。 被害が広がっていないこと、二次被害が出ていないこと、何を調べているか、いつ頃分かりそうか。

中小企業が事故を公表するときの組み立て方として、この5報の流れはそのまま参考になります。

第1報（当日）：起きたことと、止めたこと。 佐川急便は発覚の9月30日に出しています。

第2報・第3報（翌日）：流出の可能性と、遮断。

第4報（9日後）：調査の進捗と、件数を出せない理由。

第5報（23日後）：件数（ただし注記つき）と、サービス再開。

黙る期間を作らない、という一点に尽きます。23日間の沈黙と、5回の小さな公表では、受け取る側の印象がまったく違います。

時系列で見る経過

• 2026年6月21日（対象期間の開始）この日以降に預かった荷物の送り状データが対象となる。期間はシステムの保管期間に基づく
• 2026年9月30日 午前7時30分「お荷物問い合わせサービス」への第三者による不正アクセスを確認（発覚）
• 2026年9月30日第1報を公表。対策の一環として同サービスへのアクセスを一部制限
• 2026年10月1日 正午被害拡大防止のため、インターネット貨物システムへの外部からのアクセスを遮断
• 2026年10月1日第2報・第3報を公表。個人情報流出の可能性を公表。同日、個人情報保護委員会へ速報
• 2026年10月9日第4報。他システム・グループ会社への影響なし、二次被害なしを公表。件数は「確認が完了していない段階の件数を公表すると、実際とは異なる情報が伝わるおそれがある」として公表せず
• 2026年10月23日第5報。流出した可能性のある個人情報は最大約5,323万件（重複を含む）と公表。同日「インターネット貨物のお荷物問い合わせ」を再開
• 2026年10月23日以降8つのWebサービスは停止が継続。名寄せを進め、対象となる人数のより正確な把握を継続

中小企業が学ぶべきポイント

1. 「最大約5,323万件」は重複を含むのべ件数。会社自身が「実人数を示すものではありません」と明記している。
2. 宅配便は同じ人が何度も使う。送り状データの件数は、人数より大きく出るのが当たり前。
3. 数字を出すときは「この件数は◯◯であり、△△を示すものではない」と添える。訂正が減る。
4. システムの保管期間が100日だったから、漏えいも100日分で止まった。持っているデータの量が漏えいの上限になる。
5. 業務ごとにデータの保存期間を決めて紙に書き、年1回「データ棚卸し」の日をカレンダーに入れる。
6. 配送を委託することは、顧客情報を運送会社に渡すこと。送り状の住所と電話番号は相手のシステムに入る。
7. 運送会社の事故でも、出荷人である自社が個人情報保護委員会への報告の当事者になりうる。
8. 多くの届け先には個別連絡が届かない。だから出荷人が自社の顧客に伝える意味がある。
9. 件数が出せない期間にも、被害の広がり・二次被害の有無・調べている内容は公表できる。
10. 黙る期間を作らない。23日の沈黙と5回の小さな公表では、受け取る側の印象がまったく違う。

出典・参考

• 「お荷物問い合わせサービス」への不正アクセスの発生について（第1報）（佐川急便・2026年9月30日）
• 「お荷物問い合わせサービス」への不正アクセスによる個人情報流出の可能性について（第4報）（佐川急便・2026年10月9日）
• 「お荷物問い合わせサービス」の再開および個人情報の流出に関する調査状況について（第5報）（佐川急便・2026年10月23日）
• よくあるご質問（FAQ）｜「お荷物問い合わせサービス」への不正アクセスについて（佐川急便）
• 荷物問合サービスの侵害、流出対象件数を取りまとめ - 佐川急便（Security NEXT）