最大約5,323万件は「人数」ではない

佐川急便のWebサイトにある「お荷物問い合わせサービス」で、第三者による不正アクセスが確認されたのは9月30日だった。同社は外部からのアクセスを遮断して一部のWebサービスを止め、10月1日には個人情報保護委員会へ速報を出している。10月23日の第5報で、流出した可能性のある個人情報の件数を公表した。

示された数字は最大約5,323万件。同じ人の情報が重なっているものを、第三者専門機関の協力で一定程度まとめる作業（名寄せ）を経た、現時点の上限となる。特に送り状データは、同じ人が何度も荷物をやり取りした分だけ記録が重なり、氏名や住所の書き方が違うものも混じる。同社はこの件数について、対象となる人の実人数を示すものではなく、すべてが外部へ流出したと確認した件数でもないと説明した。

重複の整理はいまも続く。3つの区分ごとの件数は、同じ人の情報が重なって含まれているものが多く、実人数を正しく示すことが難しいとして、公表していない。

対象になる3種類の情報

送り状データの期間が約100日に区切られているのは、このシステムで送り状データを保管していた期間に合わせたためだ。対象期間が示されているのは送り状データだけで、運賃契約者と会員の情報には、期間の区切りは示されていない。

法人の場合は、氏名の代わりに法人名と担当者名が項目に入る。件数の集計には担当者名など個人を識別できる情報を含め、法人名だけの記録は数えていない。

含まれない情報

クレジットカード情報、パスワード、銀行口座の情報は対象に含まれないと同社は答えている。手書きの送り状で預けた荷物の情報も対象外だ。一方、荷物の中身（品名）や配送履歴が含まれるかどうかは、まだ確認を進めている段階にある。

受け取っただけ、未登録でも対象になりうる

戸惑いやすいのは、佐川急便に何かを登録した覚えがない人も関係しうる点だろう。6月21日〜9月30日に佐川急便が預かった荷物なら、通販で買った商品を受け取っただけでも、届け先として氏名、住所、電話番号が対象になりうる。スマートクラブに登録していなくても、期間中に荷物を預けた人や届け先になった人は同じ扱いだ。

送り主の側も変わらない。期間中に荷物を出した人は、依頼主として対象に含まれうる。

対象者の特定は続いている

では、自分が対象かどうかを調べる手段はあるのか。

佐川急便によると、対象者の特定と範囲の確認を進めている段階で、特に送り状データは同じ人の情報が何度も含まれるため時間がかかっている。確認がとれた人から順に案内するとしており、個別の連絡が難しい人については、同社Webサイトのお知らせをもって通知に代えるという。利用者が自分で該当の有無を照会できる仕組みは、現時点で示されていない。

最新の回答は、同社のよくある質問（FAQ）に載る。10月23日にも、件数や停止中のサービスなどの回答が更新され、出荷履歴の確かめ方の項目が新たに加わった。

配送を任せている法人の出荷人には別の確認も

通販事業者など、佐川急便に配送を任せている法人の出荷人には、別の確認が加わる。期間中の出荷履歴は、e飛伝ⅢやBiz-LogiWEBなど、使っている送り状発行システムで調べるよう同社は案内している。

個人情報保護委員会への確報について、同社は出荷人との連名で出す方向で準備中だ。連名に同意しない場合は、出荷人自身の報告が必要になることがあるという。対象の出荷人には、件数などが確認でき次第、手続きの詳細を知らせるとしている。

荷物追跡は再開、ネットの集荷受付や受取先変更は停止中

荷物の集荷と配達は通常どおり続いている。Web版の「インターネット貨物のお荷物問い合わせ」も、第三者専門機関とシステムを点検して安全性を確かめたとして、10月23日に再開した。使い方は従来と変わらない。

一方、次の8つのWebサービスは止まったままだ。

• インターネット貨物のお荷物問い合わせAPI
• 飛脚宅配便受付
• 飛脚往復便受付
• 飛脚往復便（ゴルフ）受付
• 商品回収返金サービス
• 受取先変更（配達予定からの事前受取先変更）
• 受取先変更（不在発生後の受取先変更）
• 回収くん

再開の時期は決まっておらず、決まり次第Webサイトで知らせるという。

Webで集荷を頼めない間も、電話での集荷依頼は受け付けている。最寄りの営業所に電話すれば依頼できる。受け取る側に関わるのは受取先変更で、配達前の変更も不在後の変更も、いまはWebから手続きできない。より詳しい配送状況を知りたい場合は、最寄りの営業所に問い合わせれば確認して答えるとしている。

法人向けのAPI連携を使う事業者への個別の案内は、まだ確認中の段階だ。スマートクラブを使えるかどうかについても、同社は確かめている最中としている。

佐川急便を名乗る連絡に注意、窓口は用件で使い分け

この件に関わる個人情報の不正利用などの二次被害は、現時点で確認されていない。それでも同社は、佐川急便を装った不審なメールやSMS、電話に十分注意するよう呼びかける。届いた連絡に書かれたURLは開かず、個人情報も入力したり伝えたりしないよう求めた。身に覚えのない請求や荷物が届いた場合も、慎重に対応してほしいとしている。

スマートクラブのパスワードは対象外だが、ほかのサービスと同じIDとパスワードを使い回している人には、変更を勧めている。

この件の問い合わせは、専用コールセンター（0120-28-3449）が受け付ける。受付は午前9時から午後5時までで、土日・祝日も開いている。専用のお問い合わせチャットも用意された。荷物の集荷や配達状況についての問い合わせは、コールセンターではなく最寄りの営業所の担当になる。

原因と確定した人数は未公表

不正アクセスの原因や侵入の経路について、佐川急便は第三者専門機関の協力を得て調査中としており、まだ明らかにしていない。警察にも相談している。実際に外部へ持ち出された件数や、対象となった人の確定した人数も公表されていない。

同社は2026年7月にもスマートクラブの個人情報漏えいを公表したが、こちらはシステム不具合の復旧作業での設定誤りが原因で、今回の不正アクセスとは別の事案だという。

再発防止に向け、同社はシステムのアクセス管理や監視体制を含む情報セキュリティ対策の見直しを進める。重複の整理は続いており、最大約5,323万件は現時点の上限で、対象となる人の人数や範囲はまだ確定していない。

[文/構成 by RYO]