佐川急便株式会社は2026年10月1日、自社ウェブサイトへの不正アクセスにより顧客の個人情報が外部へ流出した可能性があると公表し、主要なオンラインサービスを停止しました。流出の対象には2026年9月30日から遡って約100日間に及ぶ荷物の送り主および届け先情報が含まれており、運賃契約を結ぶ法人・個人や会員制サービスの登録データにも及んでいます。
佐川急便の不正アクセス検知とWebサービス9機能停止の経緯
佐川急便における今回のインシデントは、配送状況の確認や集荷依頼を担うオンライン顧客接点がサイバー攻撃の標的となった事案です。同社は被害拡大を防ぐ措置として基幹Web機能の遮断を実施しました。
インシデントの発生経緯と公表タイムライン
同社における不正アクセスの検知からサービス停止、専用窓口開設までの時系列は以下の通りです。
| 日時 | 発生事象・対応内容 | 影響範囲・公表状況 |
|---|---|---|
| 2025年10月15日〜16日 | 「スマートクラブ」への不正ログイン検知 | IPブロックおよび2段階認証必須化を実施 |
| 2026年9月30日 | 「お荷物問い合わせサービス」への不正アクセス確認 | アクセス制限を実施し第1報を公表 |
| 2026年10月1日 | 個人情報流出の可能性を確認、Web機能停止 | 主要Webサービス計9機能を停止し第2報を公表 |
| 2026年10月1日 | 専用コールセンター（0120-28-3449）を開設 | 午前9時〜午後5時（土日祝含む）で対応開始 |
2026年9月30日に不正アクセスを確認した佐川急便は、翌10月1日に調査を進めた結果、顧客情報の外部流出リスクを把握しました。即座に「インターネット貨物お荷物問い合わせ」や「飛脚宅配便受付」などのWeb機能を停止し、専用問い合わせ窓口を立ち上げました。
停止対象となったWeb機能と流出データの範囲
今回の措置で停止されたWebサービスは計9機能に及びます。出荷業務のデジタル受付や配送状況の自動追跡を担う機能が網羅的に遮断されました。
- インターネット貨物お荷物問い合わせ
- インターネット貨物のお荷物問い合わせAPI
- 飛脚宅配便受付
- 飛脚往復便受付
- 飛脚往復便（ゴルフ）受付
- 商品回収返金サービス
- 受取先変更（配達予定からの事前受取先変更）
- 受取先変更（不在発生後の受取先変更）
- 回収くん
流出した可能性があるデータは、2026年9月30日から遡って約100日分の荷物情報（送り主および届け先の氏名、住所、電話番号）、運賃契約を締結している法人・個人の情報、および会員制サービス「スマートクラブ」の登録顧客情報です。クレジットカード情報やログインパスワードの流出は確認されていません。また、物理的なトラック輸送、営業所での集荷・配達業務そのものは通常通り継続されています。
大手宅配キャリアを狙うサイバー攻撃の同時多発
2026年10月1日には、佐川急便以外の配送インフラ各社でもセキュリティインシデントが相次いで表面化しました。
| 企業名 | 発生サービス | 被害・影響状況 |
|---|---|---|
| 佐川急便株式会社 | お荷物問い合わせ、飛脚宅配便受付等9機能 | 直近約100日分の荷物情報・会員情報流出懸念 |
| ヤマト運輸株式会社 | クロネコ代金後払いサービス | 不正アクセス確認に伴うサービス停止 |
| 日本郵便株式会社 | 郵便局アプリ | 不正アクセスにより19人分・69件の情報漏えい |
物流大手の基盤に対する不正アクセスが同時期に発生しており、配送動態や荷主・受取人の連絡先を保有するラストワンマイルのプラットフォームがサイバー犯罪者の標的として狙われています。
参考記事: サイバーセキュリティとは？物流現場を守る基礎知識と最新対策完全ガイド
EC事業者・運送事業者・エンドユーザーに波及する実務影響
佐川急便のWeb機能停止は、同社とシステム連携を行う荷主企業や配送現場、荷受人に対して実務上の負荷を発生させています。
EC事業者：配送追跡API停止に伴うCS窓口の負荷増大
EC事業者にとって最も直接的な打撃となっているのが、「インターネット貨物のお荷物問い合わせAPI」およびWeb追跡画面の停止です。自社のEC注文管理システム（OMS）や出荷通知メールから佐川急便の追跡画面へリンクを張っていた事業者は、購入者が配送ステータスを自己解決できない状態に直面しています。
この結果、「注文した荷物が今どこにあるのか」「いつ届くのか」といった問い合わせがEC事業者のカスタマーサポート窓口に集中しています。また、購入者側でのWeb受取先変更や日時変更が機能しないため、配送日時の変更依頼がショップ側に届き、ショップ側が電話や営業所窓口経由で個別手配を余儀なくされる運用コストが生じています。
参考記事: 佐川急便株式会社の7万人情報漏えいから学ぶデジタル保守運用の必須対応
運送事業者・物流受託企業：デジタル集荷依頼の停止と手作業代替
佐川急便の幹線輸送やラストワンマイル配送と連携する利用運送事業者や3PL企業では、「飛脚宅配便受付」や「回収くん」の停止によって出荷手配の自動化ラインが寸断されています。
これまで基幹連携によってCSVデータやAPI経由で行われていた集荷指示がWeb経由で通らないため、担当営業所への直接電話連絡やFAX、送り状の手入力といった代替オペレーションが発生しています。物理的な集荷・配達は継続されているものの、データ連携が遮断されたことで出荷確定データの反映が遅れ、倉庫側の出荷締め切り時刻の前倒しや荷揃え作業のスケジュール再調整が求められています。
参考記事: ニチレイや佐川7万人影響の2026年7月事案に見る物流BCP
消費者・エンドユーザー：不在通知を騙る詐欺SMSの二次被害リスク
エンドユーザーにとっては、約100日分の氏名・住所・電話番号が流出した懸念に加え、宅配キャリアを装うフィッシング詐欺に巻き込まれるリスクが高まっています。
佐川急便を装った不在通知SMSや偽の配送完了メールは以前から確認されていましたが、流出した電話番号や配送ステータスが悪用された場合、実在の注文と見分けがつかない精度のスミッシング（SMS詐欺）が実行される危険性があります。佐川急便は公式発表において、同社からSMSで不在通知を送る際にURLリンクを記載することはないと注意を喚起しており、荷受人側での自衛対応が求められます。
LogiShiftの視点：API連携サプライチェーンが直面する停止リスクと隔離設計
今回のインシデントにおいて注目すべき点は、佐川急便が「お荷物問い合わせAPI」を含む外部連携機能を即時に切り離した判断と、それによって露呈したデジタルサプライチェーンの結合度の高さです。
2026年7月に発生した株式会社ニチレイのインシデントでは、ネットワーク遮断によって冷蔵倉庫の入出庫が止まり、結果として受託配送先3,308件を含む個人データ流出が判明しました。佐川急便の事案では、実配送業務を継続しながらWeb受付系9機能を隔離しており、物理オペレーションとWeb情報系の分離には成功しています。しかし、ECや3PLのオペレーションが佐川急便の提供するWeb APIに深く依存していたため、情報系の停止が荷主側のカスタマーサポートや出荷管理の機能を麻痺させる連鎖を引き起こしました。
物流DXが進展し、荷主・倉庫・キャリア間のAPI常時接続が標準化した環境下では、接続先がサイバー攻撃を受けた瞬間に自社のシステム運用も制限を受けます。単一の外部APIが遮断された場合でも、自社システム内で配送予定ステータスを一時保持し、顧客へ自動で代替案内を返すフォールバック（縮退運転）機能が設計されていなければ、キャリア側の障害が即座に荷主の業務停止へと直結します。サプライチェーンのデジタル化を進める企業は、常時接続の利便性だけでなく、接続先キャリアがシステムを即時遮断した際の「手動運用の代替プロトコル」を事前にシステム仕様として組み込んでおく必要があります。
参考記事: 株式会社ニチレイ、配送先含む5.4万件流出で受託物流の管理責任波及
明日から自社の物流・システム管理部門が取り組むべき実務対応
キャリアのWeb機能停止や情報流出の余波を受け、荷主企業および物流管理部門が直ちに着手すべき実務アクションは以下の通りです。
- キャリアAPI遮断時における出荷・追跡の縮退運用フローを確認する
自社の受発注システムやOMSが佐川急便の追跡APIに依存している箇所を洗い出し、API応答エラー時に自動で顧客へ「配送会社でのシステムメンテナンス中」の案内を表示させる画面制御を実装する。
- カスタマーサポートにおける配送問い合わせ専用テンプレートを配備する
購入者からの配送状況確認や日時変更依頼に対し、佐川急便のWeb機能停止の事実と専用コールセンター（0120-28-3449）の連絡先、最寄りの担当営業所一覧を迅速に回答できる問い合わせ対応マニュアルを現場に展開する。
- 不審な配送連絡に対する社内・顧客向け注意喚起を発信する
佐川急便を装う不審なSMSやフィッシングメールが急増するリスクを想定し、自社ECサイトのトップページや出荷完了メール内において、不審なリンク先へアクセスしないよう顧客への注意喚起文面を追記する。
出典: 通販通信ECMO
出典: ITmedia NEWS
出典: 佐川急便株式会社
出典: 佐川急便株式会社 お知らせ
