最終更新：10 月 23 日 17:33（日本時間）
続報が出たら追記します。
すぐ見る：よくある疑問 ／ 漏れた可能性がある情報 ／ 荷物を送った・受け取った人 ／ 佐川急便で出荷している会社 ／ 技術的な詳細 ／ 経緯
ひとことで言うと
荷物の送り状の情報が外に漏れたかもしれない事故（10 月 23 日の第 5 報まで）
- 佐川急便のサイトの「お荷物問い合わせサービス」に、外から何者かが入り込んだ（不正アクセス）。9 月 30 日に分かった。原因はまだ調べている途中
- 6 月 21 日〜9 月 30 日に預けた荷物の、送り主と届け先の名前・住所・電話番号などが漏れたおそれがある。件数は重複を含めて最大約 5,323 万件
- クレジットカードの情報とパスワードは含まれない。手書きの送り状で預けた荷物も対象外
どうすればいい？
よくある疑問と答え
-
自分は対象？
6 月 21 日〜9 月 30 日に佐川急便で荷物を送った人・受け取った人は、対象になる可能性があります。通販で商品を受け取っただけの人も含みます。
→ 漏れた可能性がある情報の一覧 -
佐川急便から連絡は来る？
対象と確かめられた人から、順に案内するとしています。個別に連絡できない人には、お知らせを出すことで連絡の代わりにするとしています。
→ 問い合わせ先と、やること - 気をつけることは？ 佐川急便を名乗る SMS・メール・電話に注意してください。リンクは開かず、個人情報も入れないでください。
- パスワードは変えたほうがいい？ パスワードは漏れた情報に入っていません。ただ、スマートクラブと同じ ID・パスワードをほかのサービスでも使っているなら、そちらを変えるよう佐川急便は案内しています。
-
荷物は届く？
集荷と配達はふだんどおりです。配送状況の確認も 10 月 23 日に再開しました。一部の受付のサービスは止まったままです。
→ 止まっているサービス -
佐川急便で出荷している会社は？
対象の期間の出荷の記録を確かめます。個人情報保護委員会への報告を、佐川急便と連名で出すかも決めます。
→ 出荷している会社がやること
詳しくは：荷物を送った・受け取った人 ／ 出荷している会社 ／ システム担当者向けの詳細
この記事では、佐川急便の情報漏洩（個人情報が流出した可能性）について、同社の第 1 報〜第 5 報とよくあるご質問、個人情報保護委員会の説明だけをもとに、何が起きたのかと、荷物を送った・受け取った人、佐川急便で出荷する事業者がやることを整理します。
何が起きたか
第 5 報（10 月 23 日）までに分かっていることです。佐川急便は 9 月 30 日の午前 7 時 30 分に、サイトの「お荷物問い合わせサービス（インターネット貨物システム）」に外から入り込まれたことに気づきました。
翌 10 月 1 日に、お客さまの個人情報が外に漏れた（流出した）可能性があると発表しました。同じ日の正午には、このシステムに外からつながらないようにしています。原因と、入り込まれ始めた日時は、外部の専門機関の力を借りて調べている途中です。
| 対象 | 内容 |
|---|---|
| 送り状のデータ | 2026 年 6 月 21 日〜9 月 30 日（約 100 日間）に預けた荷物の、送り主（ご依頼主）と届け先の名前・住所・電話番号。会社の場合は会社名と担当者名。100 日間なのは、このシステムが送り状のデータを持っておく期間がそうなっているため |
| 運賃の契約をしている人・会社 | 佐川急便と運賃の契約を結んでいる個人・会社の名前（会社名・担当者名）・住所・電話番号 |
| スマートクラブの会員 | 佐川急便の Web サービス「スマートクラブ」に登録している人の名前・住所・電話番号・メールアドレス・会員 ID |
| 含まれないもの | クレジットカードの情報・パスワード・銀行口座の情報。手書きの送り状で預けた荷物の情報も対象外。荷物の中身（品名）や配送の記録が含まれるかは確認中 |
件数は、現時点で最大約 5,323 万件です。同じ人の情報が何度も入っている分を、ある程度まとめたあとの最大の件数です。
佐川急便は、すべてが実際に外へ漏れたと確かめた件数でも、対象の人の実際の人数でもないと説明しています。とくに送り状のデータには重複が多く残っていて、整理を続けるとしています。ほかのシステムやグループ会社への影響と、漏れた可能性がある情報が悪用されたことは、今のところ確認されていません。
止まっているサービス
荷物の集荷と配達はふだんどおりです。お荷物問い合わせサービス（配送状況の確認）は、安全を確かめ終えたとして 10 月 23 日に再開しました。次のサービスは止まったままで、再開の時期は決まっていません（第 5 報）。
- 受付のサービス 飛脚宅配便受付・飛脚往復便受付・飛脚往復便（ゴルフ）受付・回収くん
- 受け取り方の変更など 受取先変更（配達予定からの事前の変更・不在のあとの変更）・商品回収返金サービス
- システムどうしの連携 インターネット貨物のお荷物問い合わせ API（ネットショップなどのシステムが配送状況を取り込む仕組み）
荷物を送った・受け取った人がやること
佐川急便の案内です。スマートクラブに登録していなくても、対象の期間に荷物を送った人・受け取った人は、名前・住所・電話番号が対象になる可能性があります。佐川急便は、対象の人を特定している途中です。確かめられた人から順に案内し、個別に連絡できない人には、お知らせを出すことで連絡の代わりにするとしています。
- 佐川急便を名乗るメール・SMS・電話に応じない。書かれた URL を開かず、個人情報を入れない。荷物の状況は、佐川急便の公式サイトのお荷物問い合わせサービスか、近くの営業所で確かめる
- 身に覚えのない請求や荷物が届いたら、すぐに応じず、落ち着いて確かめる
- スマートクラブのパスワードは漏れた情報に入っていないが、ほかのサービスと同じ ID・パスワードにしているなら変える（佐川急便の案内）
- 不安なことは、専用コールセンター（0120-28-3449・午前 9 時〜午後 5 時・土日祝も受付）か専用チャットに聞く
佐川急便で出荷している会社がやること
ネットショップの発送や、ふるさと納税の返礼品の発送などで佐川急便を使っている会社は、自社のお客さま（届け先）の情報が対象に入っている可能性があります。
- 対象の期間（2026 年 6 月 21 日〜9 月 30 日）の自社の出荷の記録を確かめる。佐川急便は、いま使っている送り状の発行システム（e飛伝Ⅲ・Biz-LogiWEB など）で確かめるよう案内している
- 個人情報保護委員会への報告をどうするか決める。佐川急便は、確報（くわしい報告）を佐川急便と出荷する会社の連名で出す方向で準備している。件数などが確かめられたら、手続きを案内するとしている。連名に同意しない場合は、自社で速報と確報を出す必要がある場合がある
- お客さまへの案内を用意する。自社のお知らせで、事実と問い合わせ先（佐川急便の専用窓口など）を伝え、佐川急便や自社を装う連絡に気をつけるよう添える
- 配送状況の取り込みに「お荷物問い合わせ API」を使っているなら、止まっている間のお客さまへの案内（追跡番号の伝え方など）を見直す
報告と通知の扱い（個人情報保護委員会の説明）
法律上の扱いは、国の機関の説明で確かめておきます。個人情報保護委員会によると、個人データの扱いを外部に任せている場合、報告の対象になる漏えいでは、原則として任せた側と任された側の両方が、委員会への報告と本人への通知の義務を負います。報告は連名でも出せます。
速報は、気づいてからおおむね 3〜5 日以内が目安です。不正アクセスのように不正な目的によるおそれがある場合の確報は、60 日以内が目安です。公表は義務ではありませんが、内容に応じて公表することが望ましいとしています。自社がどの扱いになるかは、佐川急便の案内や専門家に確かめてください。
技術的な詳細（システム担当者向け）
ここからは、配送の仕組みと自社のシステムをつないでいる担当者・エンジニア向けです。第 1 報〜第 5 報から読み取れる技術的な点を、発表の言葉に沿って並べます。
| 観点 | 発表の内容 |
|---|---|
| 対象のシステム | Web サイトの「お荷物問い合わせサービス（インターネット貨物システム）」への第三者による不正アクセス |
| 検知と初動 | 9 月 30 日午前 7 時 30 分に検知し、アクセスを一部制限。10 月 1 日正午に、システムへの外部からのアクセスを遮断 |
| データの保持期間 | このシステムが送り状のデータを保持する期間（約 100 日間）が、対象の期間（6 月 21 日〜9 月 30 日）になっている |
| 影響の範囲 | ほかのシステムとグループ会社のシステムへの影響は確認されていない（第 4 報）。流出した可能性がある情報の不正利用も確認されていない |
| 止まっている連携 | インターネット貨物のお荷物問い合わせ API。画面のお荷物問い合わせサービスは 10 月 23 日に再開したが、API の再開時期は未定 |
| 発表に無いこと | 原因・侵入の経路・不正アクセスが始まった日時（外部の専門機関と調査中）。品名や配送履歴が含まれるか（確認中） |
この記事での整理です。今回の対象の期間は、システムがデータを持っておく期間で決まっています。自社のシステムでも、問い合わせや追跡のために持っているお客さまのデータの保持期間を短くしておくと、事故のときに漏れる範囲を小さくできます。API で配送状況を取り込んでいる場合は、連携先が止まったときに画面やメールで何を案内するかも決めておきます。
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 23 日 | 第 5 報。お荷物問い合わせサービスを再開。漏れた可能性がある個人情報を、重複を含めて最大約 5,323 万件と発表。出荷する会社との連名で、個人情報保護委員会に確報を出す方向で準備していると説明。よくあるご質問も更新 |
| 10 月 9 日 | 第 4 報。ほかのシステムとグループ会社のシステムへの影響は確認されていないと発表。件数は、確かめ終わる前に出すと実際と違う情報が伝わるおそれがあるとして、確認を進めているとした |
| 10 月 1 日 | 第 2 報・第 3 報。個人情報が漏れた可能性があると発表し、対象になりうる情報と止めているサービスを示した。正午にシステムへの外からのアクセスを遮断。個人情報保護委員会へ速報を出し、専用のコールセンターを開いた |
| 9 月 30 日 | 午前 7 時 30 分に不正アクセスに気づく。第 1 報で、お荷物問い合わせサービスへのアクセスを一部制限したと発表 |
| 6 月 21 日〜9 月 30 日 | 漏れた可能性がある送り状のデータの対象期間（このシステムが送り状のデータを持っておく期間） |
なお、2026 年 7 月に発表された「スマートクラブ」の個人情報の漏えいは、システムの不具合を直す作業で設定を誤ったことによるもので、今回とは別の件だと佐川急便は説明しています。
自社で見直すこと
配送のように、お客さまの名前や住所を外部の会社に渡す仕事は、どの会社にもあります。渡した先で事故が起きても、お客さまへの説明は自社にも求められます（この記事での整理）。
- お客さまの情報を渡している先を一覧にする 配送・ネットショップ・決済・予約・フォーム・メール配信など、お客さまの情報を渡している会社と、それぞれの事故のお知らせが載る場所を控えておく。
- お客さまへの連絡文と窓口を用意しておく 事故のときに慌てないよう、お知らせのひな形と、問い合わせを受ける人を決めておく。サイトにお知らせを載せる手順も確かめておく。
- 自社からの連絡の手段を公式サイトに書いておく どのアドレスから、どんな内容のメールを送るかを公式サイトに書いておくと、自社を装う連絡と見分けてもらいやすくなる。
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、ネットショップの仕組みからの流出の例は 「ショップサーブの不正アクセス」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、使っているサービスの事故の情報を追い、お知らせの掲載や安全対策を公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
