最終更新：10 月 24 日 02:09（日本時間）
続報が出たら追記します。
すぐ見る：よくある疑問 ／ 後払いを使った人 ／ 導入しているネットショップ ／ 技術的な詳細 ／ 経緯
ひとことで言うと
通販の後払いサービスに入り込まれ、使った人の名前や買った物の情報が持ち出された（10 月 16 日の第 4 報まで）
- 通販の代金をあとからコンビニなどで払える、ヤマト運輸の「クロネコ代金後払いサービス」に、9 月 28 日に外から入り込まれた。その日の夜にサービスを止め、10 月 9 日に再開した
- 持ち出されたのは、サービスを使った一部の人の名前・住所・電話番号・メールアドレス・買った商品の明細などで約 526 万件（2018 年 10 月 1 日〜2026 年 9 月 28 日の分）
- クレジットカード情報とパスワードは含まれない。持ち出された情報が悪用された被害は、まだ確認されていない
どうすればいい？
よくある疑問と答え
-
自分は対象？
2018 年 10 月 1 日以降に、通販で「クロネコ代金後払い」を選んだ人や、その商品のお届け先になった人が含まれる可能性があります。対象の人には、ヤマト運輸から順に連絡するとしています。
→ 後払いを使った人がやること -
何が漏れた？
名前・住所・電話番号・メールアドレスと、何を買ったかの明細などです。カード情報とパスワードは含まれません。
→ 持ち出された情報の一覧 - 払込票の支払い期限は？ 9 月 28 日以降に期限を迎える払込票は、期限が 17 日間延びています。サービスは 10 月 9 日に再開しています。
-
気をつけることは？
心当たりのないメール・SMS は、URL も添付ファイルも開かずに消してください。買った商品の名前を挙げた、もっともらしい連絡が来ることも考えられます（この記事での整理）。
→ 不審な連絡への対応 -
後払いを導入しているネットショップは？
自社のお客さまが対象か、案内をどう分けるかを、加盟店向けの窓口に確かめます。そのうえで、自社のサイトにお知らせを出します。
→ ネットショップがやること
詳しくは：後払いを使った人がやること ／ 導入しているネットショップがやること
この記事では、ヤマト運輸の「クロネコ代金後払いサービス」の情報漏洩（不正アクセスによる情報の持ち出し）について、同社の初報から第 4 報までの発表だけをもとに、何が起きたのかと、後払いを使った人・導入しているネットショップがやることを整理します。
何が起きたか
第 4 報（10 月 16 日）までに分かっていることです。クロネコ代金後払いサービスは、通販で注文した商品を先に受け取り、あとから払込票やスマートフォンに届く通知で、コンビニなどで代金を払える仕組みです。
ヤマト運輸は 9 月 28 日に、このサービスに外から何者かが入り込んだことを確かめました。外からのアクセスを制限し、その日の 22 時 28 分にサービスを止めています。宅急便など、ほかのサービスはふだんどおり使えていました。
ヤマト運輸によると、セキュリティ専門機関の協力を得て調べた結果、サービスに関わる一部の情報が不正に持ち出されたことが分かりました。
| だれの情報 | 中身 |
|---|---|
| サービスを使った一部の人 | 氏名・住所・電話番号・メールアドレス・商品明細（商品名・数量・単価など）・社内管理用の情報（申込番号・受注日・与信番号など）。2018 年 10 月 1 日〜2026 年 9 月 28 日の分で約 526 万件（メールアドレスが含まれるのは約 49 万件） |
| お届け先 | サービスを使った一部の人の、お届け先の氏名・住所・電話番号・送り状番号。2021 年 2 月 5 日〜2026 年 9 月 28 日の分で約 5 万件 |
| 一部の加盟店（導入しているショップ） | 加盟店名・社内管理用の情報（加盟店コード）。2018 年 10 月 1 日〜2026 年 9 月 28 日の分で約 4,100 件 |
| 含まれないもの | クレジットカード情報・パスワード情報。第 2 報で漏れたおそれがあるとしていた「請求金額」「債権残高」「当社社員の氏名」は、持ち出しが確認されなかった。会員サービス「クロネコメンバーズ」「ヤマトビジネスメンバーズ」など、ほかのサービスからの持ち出しも確認されていない |
持ち出された情報が悪用された被害（二次被害）は、現時点で確認されていないとしています。ただ、心当たりのないメール・SMS が届いた、不審な電話がかかってきたという問い合わせは受けているとしています。入り込まれた原因や経路は、第 4 報までの発表では示されていません。
後払いを使った人がやること
ヤマト運輸の案内です。ヤマト運輸の会員でなくても、通販でクロネコ代金後払いを選んだ人や、その商品のお届け先になった人の情報が、対象に含まれる可能性があります。対象と分かった人には順に連絡します。登録情報が変わっているなどで連絡が難しい人には、第 4 報をもって知らせたことにするとしています。
- 差出人や件名に心当たりのないメール・SMS を受け取ったら、本文の URL も添付ファイルも開かずに、メールごと消す
- 不審な電話や郵便物にも慎重に対応する。ヤマト運輸の名前を装った迷惑メールや、偽のサイト（なりすましサイト）への誘導にも気をつけるよう案内している
- 払込票の支払いがまだなら、期限を確かめる。9 月 28 日以降に支払い期限を迎える払込票は、期限が 17 日間延びている（例：払込票の「お支払期限日」が 2026 年 10 月 1 日なら、変更後の期限は 10 月 18 日）
- 分からないことは、後払いの利用者向けの窓口（問い合わせフォームか 0570-666-775・9:00〜18:00・土日祝日を除く）か、本件全般のメール窓口（scmail2@kuronekoyamato.co.jp）へ
持ち出された情報には、何を買ったかの明細が含まれます。商品名や買った店の名前を挙げて、もっともらしく支払いや入力を求める連絡が来ることも考えられます（この記事での整理）。支払い先や手続きは、手元の払込票や、買い物をした通販サイトの公式の案内で確かめてください。
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 16 日 | 第 4 報。調べた結果、一部の情報が不正に持ち出されたと公表し、項目・対象の期間・件数を示した。個人情報保護委員会へは報告済み。対象の人には順に連絡するとした |
| 10 月 9 日 | 第 3 報。13 時にサービスを再開。9 月 28 日以降に支払い期限を迎える払込票の期限を 17 日間延ばすと案内 |
| 10 月 2 日 | 第 2 報。利用者・加盟店・担当社員の情報の一部が漏れた可能性があると公表 |
| 9 月 29 日 | 初報。不正アクセスの確認と、サービスを止めたことを公表 |
| 9 月 28 日 | 不正アクセスを確認。外からのアクセスを制限し、22 時 28 分にサービスを止めた |
導入しているネットショップがやること
クロネコ代金後払いを支払い方法として使っているネットショップでは、自社のお客さまの情報（購入者・お届け先・商品明細）と、自社の加盟店名・加盟店コードが対象に含まれる可能性があります。ヤマト運輸は、加盟店向けの問い合わせ先として、決済サービス カスタマーサービスセンター（0120-69-5090・9:00〜18:00・土日祝日を除く・payment@kuronekoyamato.co.jp）を案内しています。ここからは、この記事での整理です。
- 自社のお客さまが対象に含まれるか、お客さまへの案内をどう分担するかを、加盟店向けの窓口に確かめる
- 自社のサイトにお知らせを出す。起きたことの要約、ヤマト運輸の発表へのリンク、問い合わせ先、心当たりのない連絡への注意を書く
- 支払い期限が 17 日間延びた件を、お客さまからの問い合わせに答えられるよう社内で共有する。督促のメールや電話を自社から出すなら、送信元や中身をお客さまが確かめられるようにしておく
- 自社の公表や報告が要るかどうかは、ヤマト運輸の案内や専門家に確かめる
次に読む：委託先で事故が起きたときの初動（委託先の事故の比較） ／ ネットショップの仕組みから漏れた futureshop の件
技術的な詳細（システム担当者向け）
ここからは、決済や配送の外部サービスとつないでネットショップを運用している担当者・エンジニア向けです。初報から第 4 報までの発表から読み取れる技術的な点を、発表の言葉に沿って並べます。
| 観点 | 発表の内容 |
|---|---|
| 検知と封じ込め | 9 月 28 日に第三者による不正アクセスを確認。外部からのアクセスを制限したうえで、同日 22 時 28 分にサービスを停止。10 月 9 日 13 時に再開 |
| 被害の種類 | 情報の不正な持ち出し（外部への流出）。セキュリティ専門機関の協力による調査で判明 |
| 持ち出されたデータの範囲 | 2018 年 10 月 1 日〜2026 年 9 月 28 日の利用者の情報・商品明細・申込番号・受注日・与信番号、2021 年 2 月 5 日以降のお届け先と送り状番号、加盟店名と加盟店コード |
| 影響がなかった範囲 | クレジットカード情報・パスワード情報。請求金額・債権残高・当社社員の氏名は持ち出しを確認せず。クロネコメンバーズ・ヤマトビジネスメンバーズなど、ほかのサービスからの持ち出しも確認されていない |
| 発表に無いこと | 侵入の原因と経路・脆弱性の有無や種類・不正アクセスが始まった時期・再開にあたって行った対策の中身 |
この記事での整理です。持ち出された利用者の情報は、2018 年 10 月 1 日からのおよそ 8 年分でした。古い注文の明細を本番のシステムに置き続けるほど、事故のときに漏れる範囲が広がります。自社のネットショップでは、次を確かめておきます。
- 注文・お届け先の明細を、いつまで本番のデータベースに置くかの期限（保存期間）を決め、過ぎたものを消すか切り離す
- 外部の決済・配送サービスへ送る項目が、そのサービスに必要なものだけになっているか（商品名まで送る必要があるか）
- 外部サービスと連携するための API キーや管理画面のアカウントを一覧にし、使っていないものを止める
次に読む：IPA が呼びかける不正アクセスの対策
自社で見直すこと
後払い・配送・決済のように、お客さまの名前や住所、買った物の情報を外部のサービスに渡す仕事は、ネットショップには欠かせません。渡した先で事故が起きても、お客さまへの説明は自社にも求められます（この記事での整理）。
- お客さまの情報を渡している先を一覧にする 後払い・カード決済・配送・ネットショップの仕組み・メール配信など、お客さまの情報を渡している会社を書き出す。それぞれの事故のお知らせを見る場所と、加盟店向けの窓口も控えておく。
- お知らせのひな形と、載せる場所を決めておく 事故のときに慌てないよう、お知らせの文のひな形と、サイトのどこに載せるか、だれが問い合わせを受けるかを決めておく。
- 自社からの連絡の手段を公式サイトに書いておく どのアドレスから、どんな内容のメールを送るかを公式サイトに書いておく。そうすると、自社を装う連絡と見分けてもらいやすくなる。
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、配送会社からの流出の例は 「佐川急便の不正アクセス」、ネットショップの仕組みからの流出の例は 「ショップサーブの不正アクセス」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、使っているサービスの事故の情報を追い、お知らせの掲載や安全対策を公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
