ヤマト運輸の約531万件の情報流出事件（2026年）
2026年10月、ヤマト運輸株式会社は、「クロネコ代金後払いサービス」への不正アクセスによって、約531万件規模の顧客情報などが不正に持ち出されたことを公表しました。
対象となったのは、サービス利用者の氏名、住所、電話番号、購入商品の明細などです。
今回の事例で注目したいのは、氏名や連絡先だけでなく、購入した商品の情報も持ち出されていたという点です。
また、対象となったデータには、2018年までさかのぼる情報が含まれていました。
企業が個人情報を管理する際には、不正アクセスへの対策に加え、保有する情報の種類や保存期間を適切に管理することが重要になります。
事件の概要や企業の対応を整理し、個人情報管理における教訓を考えます。
事件の概要
22026年9月28日、ヤマト運輸は「クロネコ代金後払いサービス」が第三者による不正アクセスを受けたことを確認しました。
同社は翌29日に問題を公表し、外部からのアクセス制限などの対策を実施するとともに、個人情報保護委員会への報告を行いました。
その後、セキュリティ専門機関の協力を得て調査を進めた結果、同サービスに関係する一部の情報が不正に持ち出されたことが判明しました。
10月16日に公表された調査結果によると、対象となった情報は次のとおりです。
| 情報の区分 | 件数 |
|---|---|
| サービス利用者の情報 | 約526万件 |
| 商品のお届け先情報 | 約5万件 |
| 加盟店情報 | 約4,100件 |
サービス利用者の情報には、氏名、住所、電話番号、メールアドレス、商品明細、社内管理用情報などが含まれています。
商品明細には、商品名、数量、単価などの情報が含まれていました。
また、約526万件のうち、メールアドレスが含まれるものは約49万件とされています。
お届け先情報については、氏名、住所、電話番号、送り状番号が対象となりました。
なお、クレジットカード情報やパスワード情報は含まれていません。
また、個人向け会員サービス「クロネコメンバーズ」や法人向け会員サービス「ヤマトビジネスメンバーズ」など、他のサービスからの情報の不正持ち出しは確認されていないと説明されています。
不正アクセスの原因
今回、不正アクセスを受けたのは、ヤマト運輸が提供する「クロネコ代金後払いサービス」です。
このサービスは、インターネット通販などで商品を購入した利用者が、商品を受け取った後に代金を支払える仕組みです。
そのため、決済に必要な顧客情報に加え、購入商品に関する情報なども取り扱っています。
今回の不正アクセスについて、10月16日の公式発表では、第三者によって一部の情報が不正に持ち出されたことが明らかにされています。
一方、具体的な侵入経路や技術的な原因については、同発表で詳細が示されていません。
したがって、特定のシステムの脆弱性や管理上の不備が直接の原因であったと断定することはできません。
今回の事例から考えたいのは、日常的に利用する決済サービスにも、長期間にわたって蓄積された大量の個人情報が存在しているということです。
ヤマト運輸の対応
ヤマト運輸は、不正アクセスを確認した後、外部からのアクセスを制限するなどの対策を実施しました。
また、個人情報保護委員会への報告を行い、セキュリティ専門機関の協力を得て調査を進めました。
調査結果を踏まえ、同社は次のような対応を公表しています。
- 不正アクセスを受けたサービスへのアクセス制限
- セキュリティ専門機関による調査
- 個人情報保護委員会への報告
- 対象となった利用者や加盟店への順次個別連絡
- 不審なメールやSMS、電話への注意喚起
- 外部専門機関の助言に基づく情報セキュリティ体制の強化
なお、登録情報の変更などによって個別連絡が難しい対象者については、公式発表をもって通知に代えるとしています。
また、10月9日には「クロネコ代金後払いサービス」の提供を再開しています。
同社は今回の事態を重く受け止め、中長期的な対策を通じて情報セキュリティ体制を強化する方針を示しています。
事件による影響
今回の事例では、約531万件規模の情報が不正に持ち出されたことが確認されました。
特に注目したいのは、サービス利用者の氏名や住所、電話番号だけでなく、購入商品の明細も対象となっていたことです。
購入履歴には、個人の生活や嗜好に関する情報が含まれる場合があります。
そのため、氏名や連絡先などの基本的な個人情報とは異なる観点からも、適切な管理が求められます。
また、今回持ち出された利用者情報には、2018年10月1日から2026年9月28日までの約8年間にわたるデータが含まれていました。
長期間にわたって情報を保有する場合、その情報が現在も業務上必要なのか、保存期間や管理方法が適切なのかを継続的に確認することが重要です。
一方、10月16日の公式発表時点では、今回持ち出された情報が不正利用されたことによる二次被害は確認されていません。
ヤマト運輸は、利用者に対して、不審なメールやSMS、電話などへの注意を呼びかけています。
この事件から学ぶべきこと
今回の事例から学びたいのは、企業が保有する個人情報について、何を、どこに、どのくらいの期間保存しているのかを把握することの重要性です。
企業では、顧客情報や取引履歴、問い合わせ履歴、決済情報など、日常業務の中でさまざまな情報が蓄積されています。
これらの情報は、業務上必要な範囲で適切に管理することが求められます。
また、長期間保存している情報については、その必要性や管理方法を定期的に見直すことも重要です。
企業が確認しておきたい項目として、次のようなものが挙げられます。
- 保有している個人情報の種類と保存場所を把握しているか
- 個人情報の保存期間や削除ルールを定めているか
- 保存期間を経過した情報を適切に削除しているか
- 顧客情報や取引履歴へのアクセス権限を適切に設定しているか
- 外部からアクセスできるシステムの安全性を定期的に確認しているか
- 不正アクセスを検知した際の対応手順を整備しているか
- 個人情報の持ち出しが判明した場合の連絡・報告体制を整えているか
これらは物流事業者や決済事業者だけの課題ではありません。
なお、個人情報には法令などによって保存が求められるものもあります。そのため、一律に保存期間を短くするのではなく、業務上の必要性や法令上の保存義務を踏まえて管理することが大切です。
個人情報管理を組織として継続するために
ヤマト運輸の事例が示しているように、個人情報を取り扱うシステムへの不正アクセスは、大量の情報が外部へ持ち出される事態につながる可能性があります。
企業には、不正アクセスを防ぐ技術的な対策だけでなく、保有する個人情報の種類や保存期間、アクセス権限、事故発生時の対応手順などを適切に管理することが求められます。
また、こうした取組みを担当者個人の判断に任せるのではなく、組織として継続的に運用できる仕組みを整えることが重要です。
個人情報の取扱いルールや管理体制を整備し、第三者の視点から確認する方法の一つが、JAPHICマークです。
JAPHICマークの取得によって不正アクセスや情報漏えいを完全に防止できるわけではありませんが、個人情報の適切な取扱いを組織として継続するための仕組みづくりに役立ちます。
JAPHICマークで備える安心
JAPHICマークを取得した事業者には、情報漏えい保険（サイバーリスク保険）が自動付帯されます。
- 賠償責任支払限度額：500万円（免責0円）
- 情報漏えい対応費用支払限度額：200万円（免責0円）
（※売上5億円以下は自動付帯、5億円超は任意加入）
取引先からの「個人情報保護の証明」に応えるだけでなく、万が一のリスクにも備えられるのがJAPHICマークの大きなメリットです。
実際の導入を検討されている場合は、以下のページも参考にしてみてください。
▶JAPHICマーク取得支援コンサルティングの詳細はこちら
▶他の記事も読む：JAPHICコラム一覧ページへ
参考資料
ヤマトホールディングス株式会社「【第4報】『クロネコ代金後払いサービス』への不正アクセスに関する調査結果と今後の対応について」（2026年10月16日）
※本記事は2026年10月16日時点のヤマトホールディングスの公式発表に基づいて作成しています。情報の不正な持ち出しは確認されていますが、本件に関わる情報の不正利用による二次被害は、同発表時点では確認されていません。
