- 佐川急便のWebサイトの「お荷物問い合わせサービス」が第三者に不正アクセスされ、流出した可能性のある個人情報は、現時点で最大約5,323万件と発表されました（10月23日の第5報）。同じ人の情報が何度も入っている件数で、実際の人数ではありません。
- 対象は、2026年6月21日〜9月30日（約100日間）に佐川急便が預かった荷物の送り状データ（ご依頼主・お届け先の氏名、住所、電話番号）、運賃契約をしている顧客の情報、「スマートクラブ」会員の情報です。手書きの送り状で預けた荷物は対象外です。
- クレジットカード情報、パスワード、銀行口座の情報は含まれていません。不正利用などの二次被害は、現時点で確認されていないとしています。
- お荷物問い合わせサービスは10月23日に再開しました。飛脚宅配便のWeb受付や受取先変更などは、まだ止まっています。
- いちばん気をつけたいのは、佐川急便を装ったSMSや電話、メールです。佐川急便は、荷物の集配についてSMSで案内はしていないとしています。
- 侵入の原因や経路は公表されていません。PHPの脆弱性の話も、佐川急便の告知には出てきません。
ほかの不正アクセス・情報漏えいは → 不正アクセス・情報漏えい チェッカー（サービス名で検索できます）
10月に国内で発表されたほかの不正アクセス・情報漏えいは「2026年10月の不正アクセス・情報漏えい 国内まとめ」で一覧にしています。
この記事は、佐川急便の「重要なお知らせ」に出ている第1報〜第5報と「よくあるご質問（FAQ）」をもとに、分かっていることと分かっていないことを分けてまとめたものです。最新の内容は佐川急便の第5報で確かめてください。この記事も続報が出たら更新します。
最新情報（随時更新）
- 10月23日：佐川急便が第5報を発表しました。お荷物問い合わせサービスを再開し、流出した可能性のある個人情報を「現時点で最大約5,323万件（重複を含む件数）」と初めて数字で示しました。同じ日にFAQも更新され、出荷履歴の確かめ方（Q2-7）が加わっています［第5報、FAQ］。
- 10月9日：第4報。ほかのシステムやグループ会社のシステムへの影響は確認されていない、としました［第4報］。
何が起きたか（時系列）
「お荷物問い合わせサービス」は、送り状の番号（お問い合わせ番号）を入れて、荷物がいまどこにあるかを調べるWebのサービスです。佐川急便の告知では「インターネット貨物システム」とも書かれています。各報に書かれた経緯は次のとおりです。
| 日付 | できごと（佐川急便の発表） |
|---|---|
| 9月30日 7:30 | 不正アクセスが発覚（第4報に「発覚日時」として記載）。同じ日に第1報を出し、お荷物問い合わせサービスへのアクセスを一部制限した |
| 10月1日 | 第2報。個人情報が外部に流出した可能性があると発表し、Webサービスの一部を止めた。同じ日に第3報で専用コールセンター（0120-28-3449）を開設。個人情報保護委員会へ速報を出した |
| 10月1日 正午 | 被害の拡大を防ぐため、インターネット貨物システムへの外部からのアクセスを遮断（第4報に記載） |
| 10月8日・9日 | FAQを更新。10月9日に第4報。ほかのシステムやグループ会社への影響、情報の不正利用は確認されていないとした。件数は「確認中」として出さなかった |
| 10月23日 | 第5報。お荷物問い合わせサービスを再開。流出した可能性のある個人情報を最大約5,323万件（重複を含む）と発表 |
不正アクセスがいつ始まったかは、第4報の時点で「現在も調査を進めております」とされていて、第5報でも示されていません。FAQでは、個人情報保護委員会への報告のほか、警察にも相談しているとしています。
FAQには、2026年7月に公表された「スマートクラブ」の個人情報漏えいとの関係についての質問もあります。佐川急便は別の事案だとしています。7月の件はシステム不具合の復旧作業での設定の誤りが原因で、第三者の不正アクセスではなかった、という説明です。
流出した可能性がある情報・含まれていない情報
第5報の内容を表にしました。発表は「流出した可能性がある」という書き方で、すべてが実際に外に出たと確認された件数ではない、とも書かれています。
| 区分 | 対象の情報 | 補足 |
|---|---|---|
| ①荷物の送り状データ | ご依頼主・お届け先の氏名、住所、電話番号 | 2026年6月21日〜9月30日（約100日間）に預かった荷物。システムでの保管期間がこの約100日間のため。手書きの送り状は対象外 |
| ②運賃契約をしている顧客の情報（顧客リスト） | 氏名、住所、電話番号 | 法人・個人の契約者 |
| ③「スマートクラブ」会員の情報 | 氏名、住所、電話番号、メールアドレス、スマートクラブの会員ID | スマートクラブは佐川急便の会員向けWebサービス |
| クレジットカード情報 | 含まれていない | |
| パスワード（スマートクラブを含む） | 含まれていない | |
| 銀行口座の情報 | 含まれていない（FAQ Q3-5） | |
| 荷物の中身（品名）や配送履歴 | 確認中（FAQ Q3-4） | |
法人の場合、第2報やFAQでは「法人名・ご担当者名」と書かれています。第5報では、担当者名など個人を特定できる情報は件数に数え、法人名だけの記録は数えていない、と説明しています。
「5,323万件」の読み方
この数字は、同じ人の情報が重なっているものを「一定程度」まとめたうえでの、現時点での最大件数です。とくに送り状データは、同じ人が何度も荷物を送ったり受け取ったりするので、重なりがまだ多く残っているとしています。佐川急便は「対象となる方の実人数を示すものではありません」と書いていて、①〜③の区分ごとの件数も、同じ理由で出していません。人数は、整理を続けて、より正確に把握するとしています。
自分が対象かどうか
FAQでは、次の人の情報が対象になる可能性があるとしています［FAQ Q2-1〜Q2-6］。
- 2026年6月21日〜9月30日に佐川急便が預かった荷物のご依頼主・お届け先。スマートクラブに登録していなくても対象になりうる（Q2-4）
- 通販で買った商品を受け取っただけの人も、お届け先として対象になりうる（Q2-5）
- 佐川急便と運賃契約をしている会社・個人
- スマートクラブに登録している人
つまり、この約100日のあいだに佐川急便で荷物を送ったか受け取ったかした人は、手書きの送り状だった場合をのぞいて、対象かもしれないと考えておくのが現実的です。通販の荷物は、お店が印字した送り状で出していることが多いので、受け取った側も含まれる可能性があります。
いまのところ、自分が対象かどうかを調べる方法は用意されていません。佐川急便は、対象の人が確認でき次第、順番に案内するとしています。個別に連絡するのが難しい人については、Webサイトのお知らせをもって通知に代える、としています（第5報・FAQ Q2-3）。案内を待つだけでなく、届いた連絡を疑ってかかる構えが必要です。
荷物を送った・受け取った人がやること
今回、パスワードやカード番号は含まれていないので、何かのパスワードを急いで変える必要はありません。気をつけたいのは、氏名・住所・電話番号を知った相手から来る「それらしい連絡」です。名前や住所を正しく書いた偽のSMSや電話は、本物と見分けにくくなります。
- 佐川急便を名乗るSMSのリンクは開かない：佐川急便は、荷物の集配についてSMSで案内はしていないとしています［佐川急便を装った迷惑メールにご注意ください］。「不在のため持ち帰りました」「住所不明で配達できません」といったSMSは、まず偽物と考えてください。
- メールのリンクから住所やカード番号を入れない：佐川急便の注意喚起のページには、「配達情報のお知らせ」「再配達のご依頼はこちら」「配達住所不明によるお荷物保管のお知らせ」など、実際に出回った偽メールの件名が50件以上載っています。差出人が「佐川急便」と表示されていても、それだけで本物とは決められません。
- 配達状況は自分で調べる：荷物の状況は、ブックマークや自分で開いた佐川急便の公式サイトのお荷物問い合わせ（10月23日に再開）で、送り状の番号を入れて確かめます。詳しく知りたいときは、公式サイトの営業所検索で調べた営業所に電話します。
- 電話で個人情報を聞かれても答えない：佐川急便は、当社を装った電話にも注意するよう呼びかけています。こちらから公式の番号にかけ直して確かめるのが安全です。
- 身に覚えのない荷物や請求に注意する：FAQでは、不審な連絡や請求、身に覚えのない荷物の送付があったときは慎重に対応するよう求めています（Q4-4）。
- スマートクラブのパスワードを使い回しているなら変える：パスワード自体は対象外ですが、FAQでは、ほかのサービスと同じIDとパスワードにしている場合は変更を勧めています（Q4-3）。
カード番号を入れてしまったときは、すぐにカード会社に連絡して止めてもらいます。IDやパスワードを入れてしまったときは、本物のサイトからパスワードを変え、同じパスワードを使っていたほかのサービスも変えてください。フィッシング（本物そっくりの偽メールや偽サイトで入力させる詐欺）の情報は、佐川急便も案内しているフィッシング対策協議会のサイトにまとまっています。
問い合わせ先
- 専用コールセンター：0120-28-3449（受付 9:00〜17:00、土日・祝日も受付）。混み合ってつながりにくい場合があるとしています
- 専用のお問い合わせチャット（第5報のページにリンクがあります）
- 荷物の集荷・配達状況についての問い合わせは、最寄りの営業所へ
電話番号は、届いたメールやSMSに書かれたものではなく、公式サイトの告知に載っているものを使ってください。
止まっているサービス
10月23日に再開したのは「インターネット貨物のお荷物問い合わせ」だけです。次のサービスは、第5報の時点でまだ止まっていて、再開の時期は決まっていません。
- インターネット貨物のお荷物問い合わせAPI（法人がシステムで配達状況を取り込むための仕組み）
- 飛脚宅配便受付
- 飛脚往復便受付
- 飛脚往復便（ゴルフ）受付
- 商品回収返金サービス
- 受取先変更（配達予定からの事前受取先変更）
- 受取先変更（不在発生後の受取先変更）
- 回収くん
荷物の集荷と配達はふだんどおり行われています。Webで受け付けを止めている集荷は、最寄りの営業所に電話すれば頼めるとしています（FAQ Q5-4）。スマートクラブが使えるかどうかは「確認しております」とされています（Q5-5）。
佐川急便で出荷している会社がやること
通販のお店など、佐川急便に配送を頼んでいる会社（告知では「出荷人さま」）にとっては、自社のお客さまの氏名・住所・電話番号が含まれている可能性がある、という話になります。
個人情報保護委員会への報告は「連名」が予定されている
佐川急便は10月1日に個人情報保護委員会へ速報を出しました。このあと必要になる確報（くわしい報告）は、佐川急便が内容を取りまとめ、佐川急便と出荷人の連名で出す方向で準備しているとしています［第5報、FAQ Q6-5］。
- 連名の報告に同意しない出荷人は、自社で報告（速報・確報）をする必要が出る場合がある
- 連名の報告は、出荷人が自分で報告することを妨げない。すでに自社で報告した会社も、連名に切り替える相談ができる
- 対象の出荷人には、報告対象の件数などが確認でき次第、佐川急便から手続きの案内がある
いまのうちにやっておくこと
- 対象期間の出荷履歴を出しておく：FAQでは、送り状発行システムから確かめるよう案内しています（Q2-7）。Biz-LogiWEBは検索範囲が3か月以内、Biz-LogiWEBⅡは1か月以内なので、6月21日〜9月30日を何回かに分けて検索する必要があります。何件・何人分の出荷があったかは、報告やお客さまへの説明の土台になります。
- お客さまへの案内を考えておく：自社のお客さまから「佐川急便の件で自分の情報は大丈夫か」と聞かれたときの答えを用意しておきます。佐川急便の告知へのリンクと、偽SMSへの注意を添えるのが基本です。自社からお知らせを出すかどうかは、報告の進め方とあわせて判断します。
- 連名にするかどうかを決める：佐川急便からの案内を待ちつつ、社内の個人情報の担当者と話を進めておきます。漏えいの報告と本人への通知のルールは、個人情報保護委員会のページで確かめられます。
- APIや回収サービスを使っている場合：お荷物問い合わせAPI、回収くん、商品回収返金サービスは止まったままです。法人への個別の案内は確認中としていて、回収サービスの個別の問い合わせは担当の営業所へ、とされています（Q5-7・Q5-8）。
委託先から情報が漏れたときの動き方は、メール配信サービスの件をまとめた「ブラストメールへの不正アクセス」の記事も参考になります。
原因とPHPの脆弱性（php2shell）との関係
不正アクセスの原因について、FAQでは「第三者専門機関の協力のもと、原因の調査および事実関係の確認を進めております」としていて、原因も侵入経路も公表されていません。第4報では、今後、システム構成、アクセス制御、脆弱性管理、権限管理、監視体制を点検して見直すとしていますが、どれが原因だったかは書かれていません。
このサイトでは、10月21日夜に修正版が出たPHPの脆弱性「php2shell」も追っています。ただ、佐川急便の件は別の件として扱っています。告知にPHPの話は出てこず、発覚も9月30日で、修正版が出るよりずっと前です。推測で原因を結びつけることはしません。
同じ時期の別の件として、「カプコン「CAPCOM ID」への不正アクセス」もまとめています。自社のサイトに侵入の跡がないかの確かめ方は「乗っ取られていないか確かめる侵害チェックの方法」にあります。
よくある質問
通販で受け取っただけですが、対象ですか？
対象になる可能性があります。FAQでは、通販で商品を受け取っただけでも、お届け先として氏名・住所・電話番号が対象になりうるとしています。2026年6月21日〜9月30日に佐川急便で受け取った荷物があれば、対象かもしれないと考えておいてください。
5,323万人分の情報が漏れたのですか？
いいえ。5,323万件は、同じ人の情報が重なっているものを含む「件数」で、人数ではありません。また、すべてが実際に外に出たと確認された数でもない、と佐川急便は説明しています。
パスワードやカードは変えたほうがいいですか？
クレジットカード情報とパスワードは対象に含まれていないので、この件のために変える必要はありません。スマートクラブと同じIDとパスワードをほかのサービスでも使っているなら、変えておくよう佐川急便は勧めています。
佐川急便から「お詫び」の連絡は来ますか？
佐川急便は、対象の人に順番に案内するとしています。ただ、個別に連絡できない人には、Webサイトのお知らせで通知に代えるとしているので、連絡が来ないこともありえます。どんな方法で、どこから連絡するかは、確認時点の告知には書かれていません。連絡を受けたら、メールやSMSのリンクではなく、公式サイトや専用コールセンター（0120-28-3449）で確かめてください。
荷物は今までどおり送れますか？
集荷と配達はふだんどおりです。飛脚宅配便のWeb受付などは止まっているので、集荷は営業所に電話して頼みます。
原因はPHPの脆弱性ですか？
佐川急便の告知にPHPの話はなく、原因は公表されていません。発覚は9月30日で、PHPの修正版が出た10月21日より前です。
Webセキュリティ診断センターでは、企業が運営するWebサイトやサーバーについて、更新の状況や侵入の跡がないかの確認を手伝っています。佐川急便の件で自分の情報についてのお問い合わせは、佐川急便の専用コールセンターにお問い合わせください。相談はこちら
参考にした情報
- 佐川急便株式会社「「お荷物問い合わせサービス」の再開および 個人情報の流出に関する調査状況について（第5報）」（2026年10月23日）
- 佐川急便株式会社「「お荷物問い合わせサービス」への不正アクセスによる個人情報流出の可能性について（第4報）」（2026年10月9日）
- 佐川急便株式会社「同（第3報）」（2026年10月1日）
- 佐川急便株式会社「同（第2報）」（2026年10月1日）
- 佐川急便株式会社「「お荷物問い合わせサービス」への不正アクセスの発生について（第1報）」（2026年9月30日）
- 佐川急便株式会社「よくあるご質問（FAQ）｜「お荷物問い合わせサービス」への不正アクセスについて」（10月23日更新）
- 佐川急便株式会社「佐川急便を装った迷惑メールにご注意ください」
- ECのミカタ「佐川急便、2026年9月30日 不正アクセスによる個人情報流出の可能性を発表【第1報〜第3報】」（報道）
- フィッシング対策協議会
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」
