日本郵便は2026年11月5日、業務委託先のCBcloudおよび寺田倉庫において第三者からの不正アクセスが発生し、顧客情報が流出したと発表しました。配車システム「ピックゴー」経由で集荷・配達先顧客の氏名計3,763件が漏えいしたほか、共同運営サービス「防災ゆうストレージ」の再委託先メール配信サーバー侵害に伴う会員データ流出の懸念が判明しています。
CBcloudと寺田倉庫の委託先で発生した不正アクセスの全容
日本郵便が公表したインシデントは、集荷・配達業務の一部を委託しているCBcloudの配車プラットフォーム「ピックゴー」に対する不正アクセスと、寺田倉庫と共同運営する宅配型トランクルーム「防災ゆうストレージ」の再委託先サーバーに対する不正アクセスの2系統で構成されています。いずれも日本郵便の自社ネットワークではなく、業務連携を行う委託先および再委託先のIT基盤が侵入経路となりました。
インシデントの発生経緯と公表タイムライン
不正アクセスの検知から日本郵便への連絡、対外公表に至る時系列は以下の通りです。
| 日時（2026年） | 該当事業者 | 発生事象および対応内容 |
|---|---|---|
| 10月27日〜31日 | アララ | 契約企業向けサーバー97台へ不正アクセス。31日に配信サービスを全面停止 |
| 11月1日 | CBcloud | 配車システム「ピックゴー」への第三者による不正アクセスを検知 |
| 11月2日 | CBcloud | 日本郵便へ不正アクセスの第1報を報告。不正通信遮断とアカウント停止を実施 |
| 11月4日 | CBcloud | 委託した一部荷物の顧客情報が第三者により漏えいされた事実を確認 |
| 11月5日 | 日本郵便 | CBcloudおよび寺田倉庫（アララ経由）の情報漏えい事案を正式発表 |
CBcloudは不正アクセスを確認後、攻撃元からの通信遮断、不正利用されたアカウントの停止、悪用されたシステムの不具合修正を直ちに実施しました。さらに海外からのアクセス制限や一部機能の利用制限を講じ、個人情報保護委員会への報告を完了しています。一方、寺田倉庫はメール配信を再委託していたアララとのシステム連携を一時停止・遮断し、不正アクセスログの詳細調査を要請しています。
漏えいした顧客データの内訳と非該当項目
今回のインシデントで流出した、あるいは流出の懸念がある情報項目と件数は以下の通り整理されています。
| サービス区分 | 委託事業者（再委託先） | 流出対象データ | 漏えい件数・範囲 |
|---|---|---|---|
| 集荷・配達業務 | CBcloud（ピックゴー） | 顧客の名前（姓名1,672件、姓のみ2,091件） | 計3,763件（住所・電話番号は含まれず） |
| 防災ゆうストレージ | 寺田倉庫（再委託先：アララ） | メールアドレス、名前、会員ID、メール件名・本文 | 配信受け取り設定にしていた登録会員 |
CBcloud経由の流出データは、2025年12月〜2026年3月および2026年9月に同社が集荷・配達業務を担った顧客の氏名に限定されており、配送先住所や電話番号などは含まれていません。
また、寺田倉庫がアララに委託していたメール配信サーバーの事案では、保管品の入出庫履歴、クレジットカード情報などの決済情報、自宅住所データはメール配信サービス側に連携されていないため、流出対象外であることが確認されています。しかし、流出した氏名やメールアドレスが悪用され、日本郵便や寺田倉庫を装ったフィッシングメール、SMS、不審電話などの二次被害が発生する懸念があり、日本郵便は不審なURLや添付ファイルを開かないよう警戒を促しています。
参考記事: 佐川急便で最大5323万件流出の恐れ｜物流各社で不正アクセスや出荷停止が多発
サプライチェーン構成企業に波及する実務上の影響
荷物の物理的な運送業務とデジタルプラットフォームの連携が深まるなかで発生した本インシデントは、サプライチェーンに関わる各事業者に異なる実務対応を強いています。
運送事業者：外部委託・受託の境界における個人データ管理基準の再点検
軽貨物マッチングや外部配車システムを活用してピーク時の波動を吸収する運送事業者は、自社の配送データを外部プラットフォームへ受け渡す際のガバナンス見直しを迫られます。配送委託時には、ドライバーの割り当てや集荷先特定の目的でエンドユーザーの氏名・住所・荷物情報がプラットフォーム上に一時保持されます。
委託元となる大手運送会社は、受託事業者が運用するWebシステムやAPIのセキュリティ監査、委託先環境におけるデータ保持期間の制限、業務完了後の速やかなマスキング処理を契約条件として厳格化せざるを得ません。受託側の中小運送事業者やギグワーカー向けプラットフォームも、荷主から要求される安全管理措置への適合証明が取引継続の前提となります。
参考記事: ヤマト運輸で後払い情報約531万件流出｜EC決済と配送管理の連携リスク
SaaS・テクノロジーベンダー：再委託先を含めたゼロトラスト設計の要求
物流DXを支える配車管理SaaSやマーケティング支援ベンダーは、自社がサイバー攻撃の直接の踏み台、あるいはサプライチェーンの脆弱点となり得るリスクを抱えています。アララのサーバー侵害事例が示す通り、サービス提供企業がメール配信や認証基盤などの機能をサードパーティのクラウドサービスへ再委託している場合、その再委託先の脆弱性が顧客企業のデータ漏えいに直結します。
SaaS事業者は、自社アプリケーションの脆弱性診断にとどまらず、連携する外部APIや再委託先事業者のセキュリティ水準を継続的に評価する仕組みを構築しなければなりません。異常な通信ログを検知した際の自動遮断プロトコルや、委託元への一次報告を即時に完了させるインシデント対応体制の整備が調達要件として組み込まれます。
参考記事: サイバーセキュリティとは？物流現場を守る基礎知識と最新対策完全ガイド
倉庫事業者・3PL：自社基幹システムと外部サービス連携の遮断体制の整備
寺田倉庫のように、保管業務や宅配型トランクルームを運営する倉庫事業者や3PL企業では、WMS（倉庫管理システム）に加えて会員管理システムや外部通知サービスなど複数のクラウド基盤を組み合わせた運用が一般的です。こうした複合的なシステム構成において、周辺サービスが侵害された際に基幹系データを守り切る論理的分離設計が不可欠です。
本件において寺田倉庫は、アララ側の不正アクセス覚知に伴い直ちにデータ連携を遮断し、入出庫データや決済情報の侵害を回避しました。倉庫事業者には、障害や侵害が発生した特定モジュールのみを即座に切り離し、現物の保管・出荷オペレーションへの影響を最小限にとどめるネットワークセグメンテーションと運用ルールの策定が求められます。
参考記事: バンダイロジパルが10月24日に物流システム停止｜配送情報漏えいと出荷影響
LogiShiftの視点：配車基盤と通知機能の再委託が招く構造的連鎖
ラストワンマイルの配送効率化や宅配収納サービスの利便性向上を目的とした外部プラットフォーム連携は、個社完結の物流システムに比べてアタックサーフェス（攻撃対象領域）を多層的に拡大させています。本インシデントの本質は、日本郵便という基幹事業者の境界内部ではなく、集荷・配達の委託先であるCBcloud、および共同事業先である寺田倉庫の「再委託先」であるアララという、外部連携の末端で相次いで侵害が生じた点にあります。
運送業務やメール配信の外部連携においては、システム障害や不正アクセスが発生した際に相互のデータパイプラインを即時遮断できるAPI接続の認可制御と、完了済み案件の顧客情報をクラウド基盤上に滞留させないデータライフサイクル設計が不可欠です。CBcloudで漏えいした顧客氏名が2025年12月〜2026年3月および2026年9月分であった事実は、配送完了後のメタデータが一定期間システム内に保持されていた実態を示しています。
日本郵便の事例は、外部配車プラットフォームの利用やSaaSを通じた機能連携を推進する物流企業に対し、委託先および再委託先におけるアクセス権限の最小化と、配送完了後データの即時マスキングルールの徹底を迫る契機となります。自社の基幹システムを防御するだけでなく、APIで接続された提携基盤が侵害された瞬間に通信を自律遮断する運用手順を組み込んでおくことが、実務上の直接の防壁となります。
出典: 物流（ロジスティクス）ニュース ＬＮＥＷＳ
出典: japanpost.jp
出典: japanpost.jp
出典: rocket-boys.co.jp
