佐川急便第5報最大約5323万件と実人数を分けて読む

資料で確認できること

送り主・届け先・契約者・会員情報が対象となる可能性

10月1日の第2報は、荷物の送り主と届け先の氏名・住所・電話番号、運賃契約者の氏名・住所・電話番号、スマートクラブ会員の氏名・住所・電話番号・メールアドレス・会員IDが、流出した可能性のある情報に含まれると説明しました。送り主と届け先については、9月30日からさかのぼる約100日間の累計データとしています。

同じ第2報は、クレジットカード情報とパスワードは対象情報に含まれないと明記しました。流出の可能性が示された項目と、含まれないとされた項目を分ける必要があります。

第4報によると、発覚は9月30日午前7時30分です。被害拡大防止のため、10月1日正午に対象システムへの外部アクセスを遮断し、一部Webサービスの停止を継続しています。集荷・輸送・配達業務は継続していると説明しています。

• 資料 01佐川急便株式会社：『お荷物問い合わせサービス』への不正アクセスによる個人情報流出の可能性について 第2報
• 資料 02佐川急便株式会社：『お荷物問い合わせサービス』への不正アクセスによる個人情報流出の可能性について 第4報

資料で確認できること

第5報は最大約5323万件、対象期間と情報項目を公表

10月23日の第5報によると、流出した可能性がある個人情報は現時点で最大約5323万件です。対象には、6月21日から9月30日までの送り状データに含まれる依頼主・届け先の氏名、住所、電話番号、運賃契約者の氏名、住所、電話番号、スマートクラブ会員の氏名、住所、電話番号、メールアドレス、会員IDが含まれます。

会社は、約5323万件には同一人物の重複があり、特に送り状データには多数の重複が残ると説明しています。クレジットカード情報とパスワードは対象に含まれず、個人情報の不正利用などの二次被害は、第5報時点で確認されていないとしています。

同日、Webサイトの「インターネット貨物のお荷物問い合わせ」は再開しました。一方、問い合わせAPI、飛脚宅配便や往復便の受付、商品回収返金、受取先変更、回収くんなどは停止が続いています。一部再開を、すべての関連サービスの復旧と扱うことはできません。

• 資料 03佐川急便株式会社：『お荷物問い合わせサービス』の再開および個人情報の流出可能性に関するお知らせ

当事者の説明

会社は重複データを整理し、件数と対象範囲を確認中と説明

佐川急便は、累計データに同じ利用者の情報が複数回含まれる場合や、送り状ごとに氏名・住所の表記が異なる場合があると説明しています。同一利用者の整理、個人と事業者の区分、送り主ごとの整理を進めているため、確認前の件数を公表すると実際と異なる情報が伝わるおそれがあるとしています。

また、対象システム以外のシステムとグループ会社のシステムへの影響、本事案で流出した可能性のある情報の不正利用は、10月9日時点で確認されていないと説明しました。これは現時点の確認状況であり、将来の悪用がないことまで保証する内容ではありません。

• 資料 02佐川急便株式会社：『お荷物問い合わせサービス』への不正アクセスによる個人情報流出の可能性について 第4報

未確認の点

実人数、区分別件数、侵入経路、個別の対象情報は未確認

10月24日の確認時点で、対象者の実人数、送り状・契約者・スマートクラブの区分別件数、侵入経路の詳細、対象者ごとの情報項目、個別通知の方法と完了状況は、公表資料から確定できません。第三者専門機関の名称、調査方法、ログの保存期間も本文には示されていません。

『最大約5323万件』は、同じ人数の情報が重複しうる累計データの最大件数です。6月21日から9月30日に荷物を送付・受領した全員の情報流出が確定したという意味ではなく、同じ期間外なら将来の続報を確認する必要がないという意味でもありません。

• 資料 03佐川急便株式会社：『お荷物問い合わせサービス』の再開および個人情報の流出可能性に関するお知らせ

確認の範囲

このコラムの確認範囲

本稿は2026年10月11日に初回公開し、2026年10月24日に佐川急便の10月23日付第5報を確認して更新しました。10月1日付第2報、10月9日付第4報、10月23日付第5報、IPAの10月9日付注意喚起を照合しています。JBJは対象システム、ログ、対象者データ、第三者専門機関の調査記録を独立に確認していません。掲載画像は影響範囲を照合する姿勢を表した説明用イメージで、佐川急便の実際の職員・施設・システム・荷物・被害記録ではありません。

• 資料 01佐川急便株式会社：『お荷物問い合わせサービス』への不正アクセスによる個人情報流出の可能性について 第2報
• 資料 02佐川急便株式会社：『お荷物問い合わせサービス』への不正アクセスによる個人情報流出の可能性について 第4報
• 資料 03佐川急便株式会社：『お荷物問い合わせサービス』の再開および個人情報の流出可能性に関するお知らせ
• 資料 04独立行政法人情報処理推進機構 IPA：不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について

JBJの見解

第5報の最大約5323万件を、実人数と混同しない

佐川急便は2026年9月30日に不正アクセスを検知し、10月1日に個人情報流出の可能性を公表しました。10月9日の第4報を経て、10月23日の第5報で、流出した可能性がある個人情報を最大約5323万件と示しました。

最大件数は重複を含み、対象者の実人数ではありません。また、約5323万件すべてについて外部への持ち出しが確認されたという表現でもありません。本稿は、可能性として示された最大件数、対象情報、再開したサービス、なお未確認の事項を分けます。

JBJの見解

件数を急いで一つの数字にすると、同じ人を重ねて数えるおそれがある

大きな数字は注目を集めますが、累計レコード数と実人数は同じではありません。送り主、届け先、契約者、会員という立場も重なる可能性があります。未確定の数字を断定して広げると、訂正が出ても最初の印象だけが残りやすくなります。

一方で、件数が未確定だから問題が小さいとは言えません。事業者には、対象範囲、停止サービス、個別通知、調査の進捗を継続して説明する責任があります。読者は、確定していない点を保留しながら、必要な警戒を取れます。

JBJの見解

配送利用者と出荷事業者が最初に残す記録

該当期間に配送を利用した場合は、注文先、発送日、送り状番号、佐川急便や出荷元から届いた公式通知、その通知を確認した日時を保存してください。注文履歴や送り状をSNSへ公開すると、住所や電話番号を自ら広げるおそれがあります。

出荷事業者は、佐川急便からの案内、対象期間、顧客への説明文、問い合わせ記録、公式サイトの更新履歴を残してください。便乗メールやSMSを受け取った場合は、本文のURLを開かず、送信元、受信時刻、表示されたURLを記録します。

• 資料 02佐川急便株式会社：『お荷物問い合わせサービス』への不正アクセスによる個人情報流出の可能性について 第4報
• 資料 04独立行政法人情報処理推進機構 IPA：不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について

JBJの見解

影響範囲を狭く断定せず、広く言い過ぎない

不正アクセスと情報流出の可能性は、利用者と取引先に負担を生じさせる重大な問題です。会社の謝罪や対応を紹介することは、その責任を消すことではありません。同時に、他システムやグループ会社への影響まで確認されたと広げる根拠も、現時点の公表にはありません。

JBJは、確定した情報項目、可能性として示された範囲、影響が確認されていない範囲、未確定の件数を並べて示します。続報で件数や通知方法が確定した場合は、初回記事の日時と内容を残したまま更新します。