佐川急便「スマートクラブ」で他人の氏名・送り状番号が表示、約7万人に影響

事案の概要データ

何が起きたのか

佐川急便は2026年7月19日、会員制Webサービス「スマートクラブ」において、配達予定通知メールに本来とは異なる顧客の氏名、メールアドレス、送り状Noが表示される事象が発生したと公表しました。影響を受けた顧客は約7万人にのぼります。

原因はサイバー攻撃ではなく、システムの不具合でした。つまり外部から攻撃されたのではなく、自社システムの処理が誤って他人の情報を差し込んでしまった、という形です。

「攻撃されていない」情報漏えい

セキュリティ事故の分類では、これは「不具合・運用ミス」に入ります。ハッカーは登場しませんが、個人情報が第三者に見られてしまったという結果は同じです。

しかもメールは、送信してしまうと取り消せません。Webページの誤公開なら削除できますが、メールは相手の受信箱に残り続けます。約7万人分となると、回収は事実上不可能です。

この種の事故は、システム改修やキャンペーン対応など「急いで変更を入れたとき」に起きやすいという特徴があります。中小企業でも、メール配信システムやECサイトの設定を変更した直後は、テスト送信で他人の情報が混じっていないか確認する手順を入れておくと防げます。

時系列で見る経過

• 2026年7月配達予定通知メールで、本来とは異なる顧客情報が表示される不具合が発生
• 2026年7月不具合を検知し、原因調査と該当機能の対応を実施
• 2026年7月19日約7万人の顧客個人情報に影響があったことを公表。原因はシステム不具合と説明

中小企業が学ぶべきポイント

1. 情報漏えいの原因は攻撃だけではない。システム改修・設定変更のミスも同じ結果を招く。
2. メールは送信後に取り消せない。一斉配信の前に、必ずテスト送信で内容を目視確認する。
3. システム変更のリリース前に「他人の情報が混ざらないか」を確認するテスト項目を入れる。
4. 顧客数が多いサービスほど、1回の不具合の影響件数が跳ね上がる。リリース前確認の価値は件数に比例する。

出典・参考

• 2026年7月 セキュリティインシデントニュースまとめ - unitis