佐川急便・ヤマト運輸で相次ぎ不正アクセス｜佐川は約100日分の情報流出懸念

ヤマト運輸と佐川急便のWebサービスにおいて、第三者による不正アクセスが2026年9月下旬に相次いで確認された。佐川急便では「お荷物問い合わせサービス」などへの侵入により、過去約100日分におよぶ荷物の送り主や届け先の氏名、住所、電話番号が外部流出した可能性がある。

ヤマト運輸・佐川急便における不正アクセスの経緯と被害状況

日本の宅配便取扱個数は年間50億個を超えており、国土交通省が公表した令和6年度（2024年度）の実績では50億3,147万個に達している。そのうちヤマト運輸の「宅急便」、佐川急便の「飛脚宅配便」、日本郵便の「ゆうパック」の上位3便が全体の約95.2％を占める。この基幹インフラを担う大手キャリアのデジタル接点が、相次いでサイバー攻撃の標的となった。

2026年9月下旬から10月上旬にかけての公表タイムライン

2026年9月25日の日本郵便による発表を皮切りに、ヤマト運輸、佐川急便と大手宅配事業者のオンライン基盤に対する不正アクセスが連鎖的に判明した。一連の発生事象と公表の時系列は以下の通りである。

佐川急便における流出対象データと停止されたWeb機能

佐川急便では、2026年9月30日に不正アクセスを確認した後、翌10月1日に顧客情報の外部流出リスクを公表した。流出した可能性があるデータには、9月30日からさかのぼって約100日分の荷物データが含まれる。

流出対象とされている具体的な項目は以下の通りである。

• 荷物の送り主および届け先の氏名、住所、電話番号
• 同社と運賃契約を締結している顧客の登録情報
• 会員制Webサービス「スマートクラブ」の登録顧客情報

なお、クレジットカード情報やWebサービスのログインパスワードは流出対象に含まれていない。また、トラック運行や営業所での集荷・配達といった物理的な配送業務そのものは通常通り継続されている。

佐川急便は二次被害とアクセスの拡大を防ぐため、オンライン顧客接点の中核となる以下の主要Web機能を停止した。

• インターネット貨物お荷物問い合わせ
• インターネット貨物のお荷物問い合わせAPI
• 飛脚宅配便受付
• 飛脚往復便受付
• 飛脚往復便（ゴルフ）受付
• 商品回収返金サービス
• 受取先変更（配達予定からの事前受取先変更）
• 受取先変更（不在発生後の受取先変更）
• 回収くん

これらの機能停止により、出荷依頼や受取日時の変更、外部システムからの配送状況自動照会が遮断された。

ヤマト運輸「クロネコ代金後払いサービス」の被害実態

ヤマト運輸では、通販事業者などが導入している決済代行基盤「クロネコ代金後払いサービス」が侵入を受けた。2026年9月28日に不正アクセスを検知した同社は、被害拡大を防ぐため同日22時28分にシステムを緊急停止した。

当初はサービス停止と原因調査の公表にとどまっていたが、精査の結果、2026年10月2日に個人情報流出の可能性が追加発表された。流出した可能性がある情報は、購入者の氏名、住所、電話番号、メールアドレスに加え、購入商品明細、請求金額、債権残高、加盟店情報、同社担当社員の氏名に及ぶ。宅急便などの運送サービス本体は通常通り稼働しているものの、EC決済の基盤が停止したことで、後払い決済を組み込んでいた通販サイトでの決済停止が発生した。

参考記事: 佐川急便、Web9機能停止と100日分流出懸念｜追跡API遮断への実務対応

サプライチェーン各プレイヤーに波及する業務停滞とリスク

大手2社におけるデジタル接点の停止と個人情報流出の懸念は、宅配便を利用する荷主企業、現場の運送事業者、そしてシステムを提供するベンダーに異なる実務上の負荷を生じさせている。

EC事業者：決済停止による売上機会損失と追跡API停止に伴うCS逼迫

EC事業者が直面している直接的な打撃は、決済機能の制限と顧客問い合わせ対応の急増である。

「クロネコ代金後払いサービス」を利用していたECサイトでは、決済手段から後払いオプションを取り下げざるを得ず、クレジットカードを持たない若年層や後払いを好む顧客のカゴ落ち（購入離脱）が発生している。代替決済手段への案内やシステム設定の変更が突発的に求められている。

さらに佐川急便の「お荷物問い合わせAPI」が遮断されたことにより、自社の注文管理システム（OMS）やマイページ上で配送状況を自動表示していたECサイトにおいて、配送ステータスが更新されないトラブルが多発している。購入者からの「荷物が発送されたのか」「いつ届くのか」という確認がカスタマーサポート窓口へ集中し、個別の送り状番号を控えて電話で営業所へ問い合わせるなど、手作業による対応コストが膨らんでいる。

また、購入者の氏名、住所、電話番号が流出した懸念から、EC事業者側にも「自社が預けた配送先データが漏えいしたのではないか」という確認や苦情がエンドユーザーから寄せられており、改正個人情報保護法に基づく顧客への説明責任や対応方針の策定に追われている。

運送事業者・物流受託企業：デジタル受付停止に伴うアナログ代替オペレーション

佐川急便の配送網を利用する利用運送事業者や、EC荷主から発送業務を受託している3PL企業では、集荷指示の連携ラインが寸断された。

Web上の「飛脚宅配便受付」や「回収くん」が停止したため、これまでAPIやWeb連携で自動化されていた集荷依頼が実行できなくなった。その結果、地域の担当営業所への直接電話やFAX送信、送り状伝票の手作業発行といった代替運用が発生している。

物理的なトラックやドライバーは稼働しているものの、データ連携の停止によって出荷締め時刻の繰り上げや、発送データの反映遅延が発生しており、倉庫現場における出荷検品や仕分け作業の進行スケジュールに狂いが生じている。

SaaS・テクノロジーベンダー：APIセキュリティと連携冗長化の要求増大

WMS（倉庫管理システム）やOMS、配車管理システムを提供するSaaS事業者にとって、今回の事案は外部API依存の脆弱性を浮き彫りにした。

大手キャリアのAPIが停止した際、連携先のSaaS側でエラーハンドリングが適切に処理されず、バッチ処理全体がスタックするなどのトラブルが一部で発生した。これにより、荷主企業からは「外部APIがダウンしても出荷通知や伝票発行を止めないフォールバック機能」の実装要求が急速に高まっている。

同時に、荷物追跡画面や集荷依頼ポータルなど、インターネットに公開されているWeb接点に対するボット対策、API認証の強化（多要素認証の必須化）、レートリミット（短時間のアクセス回数制限）の設定など、セキュリティ機能を組み込んだシステム設計への改修提案がベンダー側に求められている。

参考記事: サイバーセキュリティとは？物流現場を守る基礎知識と最新対策完全ガイド

LogiShiftの視点：配送データ保持期間の最小化とAPI依存のフォールバック設計

今回のインシデントは、物理的な物流網が維持されていても、情報系のWebサービスが1系統寸断されるだけでサプライチェーン全体の運用が大幅に停滞する現実を示した。物流DXによって配送追跡や集荷依頼がWebAPIを通じてシームレスにつながった結果、利便性の向上と引き換えに、外部システムの停止リスクが荷主や受託企業へ即座に伝播する構造が定着している。

着目すべき事実の一つは、佐川急便において「過去約100日分」の荷物データが外部からアクセス可能な状態に置かれていた点である。配送完了後の荷物データは、不着や破損への対応、運賃請求の照合といったバックオフィス業務のために保管されるが、外部に公開されたWeb追跡システム上で数か月分もの氏名・住所・電話番号が平文のまま照会可能な設計になっていれば、攻撃者にとって格好のデータ集積所となる。欧州の3PL大手Ceva Logisticsで発生したインシデントでも、倉庫管理システム内に滞留していた過去90日分の配送メタデータが窃取された。2026年7月のニチレイの事案でも受託配送先3,308件の個人情報が流出している。

物流企業が今後講じるべき実務的な防衛策は、ファイアウォールなどの境界防御にとどまらない。配送が完了し一定期間（例：配達完了から7〜14日）を経過した荷物情報については、外部公開データベースから即座に切り離し、個人情報をマスキング・トークン化する「データの保持期間最小化（Data Minimization）」の徹底が不可欠である。

また、荷主や3PL企業側においては、特定キャリアの単一APIに依存しきったシステム設計を見直す必要がある。キャリア側でセキュリティ事案やシステム障害が発生してAPIが遮断された際、自動的に代替キャリアの配送伝票発行へ切り替えるルーティング機能や、CSVファイルを用いた手動バッチ処理へ即時移行できる「フォールバック設計」を事前にシステム仕様へ組み込んでおくことが、事業継続性を維持するための必須要件となる。

参考記事: Ceva Logisticsの欧州8拠点データ流出から学ぶ対策
参考記事: 株式会社ニチレイ、配送先含む5.4万件流出で受託物流の管理責任波及

明日から自社の物流・IT部門が取り組むべき3つの実務対応

大手宅配キャリアのセキュリティインシデントを受け、自社の出荷オペレーションとデータ管理を守るために着手すべき具体的なアクションは以下の3点である。

1. 自社システム内に蓄積された配送先個人データの保持期間総点検

自社のECシステム、OMS、WMS内に保管されている荷受人の氏名、住所、電話番号の保存期限を確認する。発送完了から一定期間を過ぎた注文データについては、個人情報部分を自動消去またはマスキングする運用ルールを設定し、万一の不正アクセス時における流出対象範囲を最小化しておく。

2. キャリアAPI停止時における出荷・追跡の手動切り替え手順の策定

佐川急便やヤマト運輸などの主要キャリアが提供するAPIが遮断された事態を想定し、手動での伝票発行、個別営業所への集荷連絡、CSVデータによる出荷実績取り込みなどの代替運用フローを文書化する。システム停止時でも出荷締め時刻を維持できるよう、現場担当者を含めた運用訓練を実施しておく。

3. 不在通知詐欺を警戒する顧客向けアナウンスの実施とCS体制の強化

流出した配送先データが悪用され、宅配業者や自社ECサイトを騙ったフィッシングSMS（不在通知スミッシング）がエンドユーザーへ届くリスクが高まっている。自社サイトや出荷通知メールにおいて「当社および配送会社からSMSで直接URLを開かせることはない」といった注意喚起を明記し、不審な問い合わせに対応できる専用の連絡窓口を整備しておく。

出典: TECH+（テックプラス）
出典: ITmedia NEWS
出典: トラックニュース
出典: ネットショップ担当者フォーラム
出典: 国土交通省