佐川急便の個人情報流出のおそれ（2026年）
2026年10月、佐川急便株式会社は、荷物の輸送状況を確認できる「お荷物問い合わせサービス」への不正アクセスを受け、顧客の個人情報が外部へ流出した可能性があることを公表しました。
対象となる可能性があるのは、荷物の送り主や届け先の氏名、住所、電話番号などです。
また、法人・個人の契約顧客や、会員制Webサービス「スマートクラブ」の登録者情報も対象に含まれています。
今回の事例は、日常的に利用される物流サービスにおいて、顧客情報の管理とシステムの安全性をどのように確保するかという課題を示しています。
事件の概要
2026年9月30日、佐川急便は「お荷物問い合わせサービス」に対する不正アクセスを公表しました。
翌10月1日には、調査の結果、顧客の個人情報が外部に流出した可能性があることを明らかにしました。
対象となる可能性がある情報は、主に次の3種類です。
- 荷物の送り主・届け先の氏名、住所、電話番号（法人の場合は法人名・担当者名を含む）
- 運賃契約を結んでいる法人・個人顧客の氏名、住所、電話番号
- 会員制Webサービス「スマートクラブ」の登録者の氏名、住所、電話番号、メールアドレス、会員ID
荷物の送り主・届け先については、9月30日からさかのぼって約100日間の累計データが対象とされています。
10月1日の発表時点では、対象件数や影響範囲について調査が続けられていました。
なお、クレジットカード情報やパスワードは、対象となる情報に含まれていないとされています。
不正アクセスの原因
今回、不正アクセスを受けたのは、佐川急便のWebサイトで荷物の輸送状況を確認するための「お荷物問い合わせサービス」です。
このサービスでは、配送状況の確認に必要な情報を取り扱っています。
一方、10月1日時点の報道では、不正アクセスの具体的な侵入経路や手法について、詳細は明らかになっていません。
そのため、システムの脆弱性や管理上の不備が直接の原因であったと断定することはできません。
今回の事例から考えたいのは、顧客情報を取り扱うWebサービスが不正アクセスを受けた場合、サービスの利用者だけでなく、荷物の送り主や届け先など、幅広い関係者の情報が影響を受ける可能性があるという点です。
佐川急便の対応
佐川急便は、不正アクセスによる被害の拡大を防ぐため、一部のWebサービスを停止しました。
停止対象には、次のようなサービスが含まれています。
- インターネット貨物お荷物問い合わせ
- お荷物問い合わせサービスのAPI
- 飛脚宅配便受付
- 飛脚往復便受付
- 商品回収返金サービス
報道によると、停止対象は合計9サービスに及びました。
一方、荷物の集荷や配達については、通常どおり行われていると説明されています。
また、佐川急便は利用者や関係者に謝罪するとともに、同社を装った不審なメールやSMS、電話への注意を呼びかけました。
不審な連絡を受けた場合には、記載されたURLにアクセスしたり、個人情報を入力したりしないよう求めています。
事件による影響
今回の事例では、荷物の送り主や届け先、契約顧客、スマートクラブ会員など、複数の区分に属する個人情報が流出した可能性があります。
特に注目したいのは、荷物の届け先となる人が、必ずしも佐川急便の会員ではないという点です。
自ら会員登録をしていなくても、商品を購入したり、知人から荷物を受け取ったりすることで、配送に必要な個人情報が物流事業者に取り扱われることになります。
また、氏名や住所、電話番号などが第三者に取得された場合、配送業者を装った不審な連絡などに悪用される可能性も考えられます。
ただし、今回の公表内容については、個人情報の流出が確定したものではなく、流出した可能性があるという段階であることに注意が必要です。
この事件から学ぶべきこと
今今回の事例から学びたいのは、企業が保有する個人情報は、会員情報や顧客名簿だけではないということです。
配送情報、問い合わせ履歴、予約情報、申込情報など、日常業務の中で取り扱う情報にも、多くの個人情報が含まれています。
こうした情報は、業務上必要な期間、適切な方法で管理することが求められます。
企業が見直しておきたい項目として、次のようなものが挙げられます。
- 業務システムで取り扱う個人情報の種類を把握しているか
- 個人情報の保存場所や保存期間を明確にしているか
- 外部からアクセスできるシステムの安全性を定期的に確認しているか
- 業務に必要な範囲でアクセス権限を設定しているか
- 不正アクセスを検知した際の対応手順を整備しているか
- システム停止時の代替業務を検討しているか
- 情報漏えいのおそれが生じた場合の利用者への連絡方法を決めているか
これらは物流事業者に限った課題ではありません。
例えば、医療機関の予約システムや患者情報管理システム、一般企業の顧客管理システムなどでも、同様の対策が重要になります。
個人情報管理を組織として継続するために
佐川急便の事例が示しているように、日常業務で利用するWebサービスへの不正アクセスは、個人情報の流出リスクだけでなく、業務の一部停止にもつながる可能性があります。
そのため企業には、システムの安全性を確保する技術的な対策に加え、個人情報の取扱いルールや事故発生時の対応手順を組織として整備することが求められます。
また、こうした取組みを一度実施するだけでなく、定期的に見直し、継続的に運用することが重要です。
個人情報保護に関する管理体制を整備し、第三者の視点から確認する方法の一つが、JAPHICマークです。
JAPHICマークの取得によって不正アクセスや情報漏えいを完全に防げるわけではありませんが、個人情報の適切な取扱いを組織として継続するための仕組みづくりに役立ちます。
JAPHICマークで備える安心
JAPHICマークを取得した事業者には、情報漏えい保険（サイバーリスク保険）が自動付帯されます。
- 賠償責任支払限度額：500万円（免責0円）
- 情報漏えい対応費用支払限度額：200万円（免責0円）
（※売上5億円以下は自動付帯、5億円超は任意加入）
取引先からの「個人情報保護の証明」に応えるだけでなく、万が一のリスクにも備えられるのがJAPHICマークの大きなメリットです。
実際の導入を検討されている場合は、以下のページも参考にしてみてください。
▶JAPHICマーク取得支援コンサルティングの詳細はこちら
▶他の記事も読む：JAPHICコラム一覧ページへ
参考資料
ITmedia NEWS「佐川急便、不正アクセスで個人情報流出か 送り主・届け先の氏名や住所など、約100日分の荷物データ対象」（2026年10月1日）
※本記事は2026年10月1日時点の公表内容を伝える報道に基づいて作成しています。個人情報の外部流出が確定したものではありません。原因や影響範囲については、今後の調査によって明らかになる可能性があります。
