佐川急便で最大5323万件流出の恐れ｜物流各社で不正アクセスや出荷停止が多発

佐川急便やヤマト運輸をはじめとする物流企業や配送プラットフォームで、第三者による不正アクセス被害の公表が相次いでいます。佐川急便の「お荷物問い合わせサービス」では最大約5,323万件の個人情報が流出した可能性が明らかになり、追跡サービスの一時停止が発生しました。

2026年秋に多発した物流サイバー攻撃のタイムラインと被害実態

2026年9月下旬から11月初旬にかけて、大手運送事業者、配送マッチング事業者、貿易DXプラットフォーム、冷蔵倉庫事業者、3PLなど、サプライチェーンの各階層を支える事業者が相次いで不正アクセスの被害を公表しました。

今回の事案では、追跡システムや配送依頼サービスなど顧客接点となるWebサーバーへの攻撃だけでなく、クラウド基盤の侵害に伴う物流拠点の物理的な入出荷停止、さらにはランサムウェアによる業務データの暗号化と漏えいまで発生しています。

被害公表企業とインシデントの概要

下表は、2026年9月から11月にかけて公表された主な物流関連企業における不正アクセス・システム被害の経緯を整理したものです。

ラストワンマイルから貿易プラットフォームまで及んだ侵害経路

被害は特定の事業形態にとどまりません。日本郵便では国際郵便の事故調査を受け付けるWebサーバーが踏み台にされ、約52万件の迷惑メールが外部へ送信される事態となりました。佐川急便では荷物追跡システムが標的となり、送り状情報に紐づく配送先氏名や住所など、国内の宅配便利用者データが大規模に閲覧・窃取された恐れが持たれています。

一方、オープンプラットフォームや配送マッチングを運営するテクノロジー企業への攻撃では、APIや業務提携で結ばれた企業群のデータへ被害が連鎖しました。CBcloudが運営する「ピックゴー」の事案では、同サービスと配送連携を行っている株式会社セブン‐イレブン・ジャパンの「7NOW」配達関連情報や、株式会社出前館における注文者の氏名799件、住所794件、一部店舗情報などの配送情報、ならびに登録パートナードライバーの個人情報が不正に取得された可能性が公表されています。

また、株式会社Shippioが提供する貿易業務プラットフォーム「Shippio Platform」では、第三者による不正アクセスを受けてサービスを緊急停止し、貿易実務で交わされるインボイスやパッキングリストなど輸送関連書類約1,300件が流出した恐れが生じました。さらに、ニッスイ子会社である日水物流株式会社の事案では、利用していた外部クラウドサービス（IDCフロンティアが運営するIDCFクラウド）への攻撃によって基幹系が機能不全に陥り、全国17カ所の物流拠点で入出荷業務がストップするなど、インフラの停止が現場の庫内オペレーションを直接拘束する被害も発生しました。

参考記事: 相次ぐサイバー被害で露わになる物流停止リスクについて｜物流業界への影響を徹底解説[企業はどう動く？]

サプライチェーンの主要プレイヤーが直面する現実的脅威

物流を構成する各プレイヤーは、保有するデータの性質やシステムの役割に応じて、それぞれ異なる事業継続上のリスクを抱えています。

運送事業者：大量の個人情報管理責任と「なりすまし」による二次被害

大手宅配便事業者は、日々の集荷・配達に伴い、数千万件単位のエンドユーザーの氏名、電話番号、住所、荷物内容などの個人データを扱います。佐川急便やヤマト運輸の事例が示す通り、顧客向けの照会・決済Webシステムに侵入されると、漏えい規模は数百万から数千万件に達します。

2022年4月施行の改正個人情報保護法により、一定規模以上の漏えい事故が発生した事業者には個人情報保護委員会への報告と本人への通知が法的に義務付けられています。さらに、流出した配送ステータスや不在連絡票の番号が悪用され、配送業者を装ったフィッシングSMSや詐欺電話が一般消費者へ大量送信されるリスクも高まります。運送事業者は、漏えい自体のインシデント対応に加え、配送ブランドを悪用したなりすまし被害への警戒喚起やコールセンターの体制強化を強いられます。

SaaS・テクノロジーベンダー：API接続を介した荷主・パートナーへの波及

貿易DXや輸配送マッチングを担うSaaSベンダーは、荷主、3PL、フォワーダー、個人ドライバーなどの複数主体をデータ連携で結ぶハブとして機能しています。そのため、自社システムが突破されると、自社のみならずエコシステムに参加するすべての提携先に侵害が波及します。

CBcloudの事例では、荷主である大手流通・デリバリー事業者の顧客情報やギグワーカーの個人情報が流出対象となりました。またShippioの事例では、輸送関連書類に含まれる輸出入者の取引金額、商品品目、船荷証券（B/L）情報など、企業の機密情報が外部にさらされる事態が生じています。SaaS型物流基盤はAPIを通じた利便性を提供する反面、単一の認証情報不備やWebアプリケーションの脆弱性がサプライチェーン全体の信用失墜に直結する構造的リスクを抱えています。

倉庫事業者・3PL：WMS機能停止に伴うトラック待機と保管商品の滞留

日水物流やエスケーロジの事例に見られるように、倉庫事業者や3PL企業へのサイバー攻撃は、在庫の出入庫データを遮断し、現場の物理作業を停止させます。WMS（倉庫管理システム）がランサムウェア等で暗号化される、あるいはクラウド障害でネットワークから切り離されると、ハンディターミナルによる検品や自動倉庫の制御、帳票出力が一切行えなくなります。

入出荷が止まれば、集荷に訪れたトラックがバース周辺で長時間待機することになり、配送網全体の運行計画が破綻します。とりわけ温度管理を要する冷蔵・冷凍倉庫では、入庫待ちトラックの荷受拒否や庫内荷動きの凍結が食品の品質劣化や取引先スーパー・外食チェーンの欠品に直結するため、金銭的補償を含めた経営責任に発展します。

参考記事: ニチレイなど2026年7月の障害事例に学ぶ物流網寸断を防ぐBCP

LogiShiftの視点：API経済圏と物流現場を分断させない「最小特権型連携」の構築

物流DXやプラットフォーム連携の進展は、運送・倉庫・通関・ECをシームレスに結びつける効率化をもたらした一方、各社のIT境界線を曖昧にし、サプライチェーン全体のアタックサーフェス（攻撃対象領域）を急拡大させました。今回の連続インシデントが浮き彫りにしたのは、物流ネットワークの結節点となっているシステムが1カ所でも侵害されると、荷主、下請けドライバー、消費者に至るまで被害が連鎖するリスク構造です。

警察庁が公表したデータによると、令和6年（2024年）におけるランサムウェア感染経路のうち、VPN機器経由が55.0%、リモートデスクトップ経由が31.0%を占めています。日水物流が直面したクラウド基盤障害やエスケーロジを狙ったランサムウェア「Qilin」の手口を見ても、外部ネットワークとの接続点や委託先環境の脆弱性が侵害の足がかりとなっています。

物流事業者に今後求められるのは、API連携を前提としつつも、外部からの不正アクセスが現場オペレーションを停止させない「疎結合」なインフラ設計です。照会Webサービスやマッチング基盤などのインターネット公開系システムと、配車管理・WMSなどの物理制御系ネットワークを完全に分離し、外部基盤が侵害されても倉庫内作業や配車指示が即時停止しない多層防御を確立しなければなりません。また、CBcloudやShippioのように荷主やドライバーと双方向通信を行うサービスでは、アクセス権限を業務に必要な最小限に絞り込む「最小特権の原則」をAPI設計に組み込む必要があります。

今回の事態は、佐川急便で最大約5,323万件、ヤマト運輸で約526万件という膨大な登録データが標的となっただけでなく、日水物流の全17拠点で入出荷が止まるなど、サイバー攻撃が物理的な供給停止に直結した重大な節目です。運送・倉庫の実務部門は、基幹システムの完全遮断を想定し、手作業やローカルバックアップを用いた代替出荷手順の策定と、API連携先に対するセキュリティ監査の実施を直ちに進める必要があります。

参考記事: サイバーセキュリティとは？物流現場を守る基礎知識と最新対策完全ガイド

出典: 物流（ロジスティクス）ニュース ＬＮＥＷＳ
出典: itmedia.co.jp
出典: itmedia.co.jp
出典: [itmedia.co.jp](https://www.itmedia.co.jp/news/article/2610/23/2000002553/
出典: nri.com
出典: yomiuri.co.jp
出典: ryutsuu.biz
出典: itmedia.co.jp
出典: alsok.co.jp
出典: tri-gate.co.jp