クロネコ代金後払い第4報約526万件の持ち出し確認と対象外情報を整理

資料で確認できること

利用者情報約526万件、お届け先情報約5万件を確認

ヤマトホールディングスは、2018年10月1日から2026年9月28日までにサービスを利用した一部の利用者について、氏名、住所、電話番号、メールアドレス、商品明細、申込番号・受注日・与信番号などの社内管理用情報が約526万件持ち出されたと公表しました。このうちメールアドレスを含むものは約49万件です。

また、2021年2月5日から2026年9月28日までの一部のお届け先情報として、氏名、住所、電話番号、送り状番号が約5万件、加盟店名と加盟店コードが約4,100件持ち出されたとしています。件数は情報レコードの件数であり、同一人物の重複有無や確定した人数は発表だけでは分かりません。

• 資料 02ヤマトホールディングス株式会社：【第4報】「クロネコ代金後払いサービス」への不正アクセスに関する調査結果と今後の対応について

当事者の説明

カード・パスワード、請求金額・債権残高、社員氏名は持ち出しを確認せず

会社は、持ち出された情報にクレジットカード情報とパスワード情報は含まれていないと説明しています。第2報で可能性のある項目に挙げていた請求金額、債権残高、会社社員の氏名についても、調査の結果、不正な持ち出しは確認されなかったとしました。

『確認されなかった』項目を、持ち出しが確認された項目へ再び混ぜて拡散してはいけません。一方、カードやパスワードが対象外でも、氏名・住所・電話番号・商品明細などを使い、もっともらしい連絡を作る危険は残ります。

• 資料 02ヤマトホールディングス株式会社：【第4報】「クロネコ代金後払いサービス」への不正アクセスに関する調査結果と今後の対応について

当事者の説明

対象者へ個別連絡、連絡が難しい場合は公表を通知とする方針

会社は、情報の持ち出しが判明した対象者へ順次個別に連絡するとしています。登録情報の変更などで連絡が難しい場合は、第4報の公表をもって通知とする方針です。個別連絡が届いていないことだけで、対象外だと確定することはできません。

公表時点で持ち出された情報の不正利用による二次被害は確認していないとしていますが、不審なメール、SMS、電話に関する問い合わせは届いていると説明しています。不審な連絡を今回の流出に起因すると会社が確定した記載ではありません。

• 資料 02ヤマトホールディングス株式会社：【第4報】「クロネコ代金後払いサービス」への不正アクセスに関する調査結果と今後の対応について

未確認の点

件数と人数の関係、侵入方法、個別の悪用は未確認

第4報からは、各件数に含まれる重複、確定した人数、攻撃者の侵入方法、持ち出した情報の保存・提供先、個別の不審な連絡との因果関係、今後発生し得る二次被害までは確認できません。

二次被害を確認していないという公表は重要ですが、将来の被害が起きないという保証ではありません。同時に、現時点の不審な連絡をすべて今回の事案へ結びつけることもできません。

• 資料 02ヤマトホールディングス株式会社：【第4報】「クロネコ代金後払いサービス」への不正アクセスに関する調査結果と今後の対応について

確認の範囲

このコラムの確認範囲

本稿は2026年10月5日に公開した第2報の整理を、10月18日に取得したヤマトホールディングスの10月16日付第4報に基づいて全面更新したものです。JBJは会社、利用者、加盟店、調査機関、関係当局、攻撃者への直接取材や、システム・ログ・持ち出された情報の独立調査を行っていません。掲載画像は初報と続報を照合する姿勢を表した説明用イメージで、実際の荷物・請求書・利用者・職員・設備・画面・被害記録ではありません。

• 資料 01ヤマトホールディングス株式会社：【第2報】クロネコ代金後払いサービスへの不正アクセスの発生について
• 資料 02ヤマトホールディングス株式会社：【第4報】「クロネコ代金後払いサービス」への不正アクセスに関する調査結果と今後の対応について

JBJの見解

第2報の『可能性』から、第4報の『持ち出し確認』へ

不正アクセスの続報では、前回の『可能性』が何について確定し、何が対象外になったのかを読み直す必要があります。10月16日の第4報は、クロネコ代金後払いサービスに関わる一部情報が不正に持ち出されたと公表しました。

件数の大きさを軽く扱うことはできません。同時に、約526万件、約5万件、約4,100件は対象区分が異なり、単純に一人ずつの被害者数として合算できません。確認された情報項目と、調査で持ち出しが確認されなかった項目も分けます。

JBJの見解

ブランド全体の問題へ広げず、対象サービスを確認する

『クロネコ』『ヤマト』という広いブランド名だけで共有すると、対象がクロネコ代金後払いサービスであることが抜け落ちます。宅配便を利用しただけの人、配送担当者、すべての加盟店まで同じ情報が流出したと決めつける根拠はありません。

正当な批判は、情報管理、検知・連絡までの対応、再発防止、対象者への説明に向けるべきです。無関係な従業員や店舗への攻撃、対象外情報を含む断定、偽の問い合わせ先の共有は、被害防止にも事実確認にもつながりません。

JBJの見解

注文記録、個別通知、不審な連絡を分けて保存する

利用者は、サービスを利用した注文、利用日、加盟店名、会社からの個別通知、第4報を確認した日時を分けて記録してください。不審なメールやSMSのURL、添付ファイルは開かず、電話や郵便物についても届いた日時、名乗った相手、求められた行動を記録します。

記録を第三者へ相談する場合は、氏名、住所、電話番号、メールアドレス、与信番号、送り状番号、商品明細などを公開投稿へ貼り付けないでください。真偽確認は、不審な連絡に書かれた連絡先ではなく、会社の公式サイトから確認できる窓口で行います。

• 資料 02ヤマトホールディングス株式会社：【第4報】「クロネコ代金後払いサービス」への不正アクセスに関する調査結果と今後の対応について

JBJの見解

確定した持ち出しを重く受け止め、対象外情報も正確に伝える

第2報の可能性から、第4報で大規模な情報持ち出しが確認されたことは、利用者と加盟店にとって重要な更新です。会社には、個別通知、長期的な悪用監視、原因と再発防止、問い合わせへの継続対応を具体的に説明する責任があります。

その責任を問うことと、カード情報やパスワード、請求金額、債権残高、社員氏名まで流出したと断定することは別です。JBJは批判される側を無条件に擁護せず、確認された持ち出しを小さく扱わず、確認されなかった項目と未確認の点も同じ記事内で更新します。