ヤマトホールディングスのサイトに、不正アクセスの第4報が載りました
ヤマトホールディングスのサイトの「重要なお知らせ」に、2026年10月16日付で第4報が載りました。
発表の主語は、サービスを運営するヤマト運輸です。
題名は「【第4報】『クロネコ代金後払いサービス』への不正アクセスに関する調査結果と今後の対応について」です。
第4報の1段落目は、次のとおりです。
「2026年9月29日にご報告いたしましたとおり、ヤマト運輸株式会社は、9月28日（月）に「クロネコ代金後払いサービス」が第三者による不正アクセスを受けたことを確認いたしました。不正アクセスの確認後、速やかに外部からのアクセスを制限するなど必要な対策を講じるとともに、個人情報保護委員会への報告を行っております。」
出典: ヤマトホールディングス「【第4報】『クロネコ代金後払いサービス』への不正アクセスに関する調査結果と今後の対応について」2026年10月16日
https://www.yamato-hd.co.jp/important/info_260929_1.html
第4報で新しく書かれた調査の結果は、次の1文です。
「セキュリティ専門機関の協力を得て調査した結果、「クロネコ代金後払いサービス」に関わる一部の情報が不正に持ち出されたことが判明いたしました。」
持ち出された情報には、サービスを利用した一部のお客さまの情報と、一部の加盟店さまの情報の両方が入っています。
サービスの中身は、第2報の【参考】で次のように説明されています。
「通販サイトで注文した商品を先に受け取った後、払込票やスマートフォンに届く通知から、後日コンビニなどで代金をお支払いいただけるサービスです。」
第2報の「漏えいした可能性」は、第4報で「不正に持ち出された」に変わりました
第4報のページには、過去のお知らせ3本へのリンクがあります。
4本を日付の順に並べると、書かれていることはこう変わっています。
- 2026年9月29日の第1報: 9月28日に不正アクセスを確認し、同日22時28分にサービスを停止したと書かれています
- 2026年10月2日の第2報: 情報の一部が漏えいした可能性があると書かれています
- 2026年10月9日の第3報: 同日13:00にサービスを再開したと書かれています
- 2026年10月16日の第4報: 一部の情報が不正に持ち出されたことが判明したと書かれています
第2報の時点では、情報の範囲は調査中とされていました。
「漏えいの可能性がある情報と範囲については、引き続き調査を進めております。」
出典: ヤマトホールディングス「【第2報】『クロネコ代金後払いサービス』への不正アクセスの発生について」2026年10月2日
第4報では、情報の項目と対象期間と件数が、表で示されました。
持ち出された情報の件数が出たのは、4本のうち第4報が初めてです。
持ち出された情報は、3つの区分に分けて示されています
第4報の「1．不正に持ち出された情報と対象範囲」には、表が1つあります。
表の各行を、原文の語のまま写します。
情報項目 「クロネコ代金後払いサービス」を利用された一部のお客さま情報 氏名、住所、電話番号、メールアドレス、商品明細（商品名、数量、単価など）、社内管理用情報（申込番号、受注日、与信番号など） 対象期間 2018/10/1から2026/9/28 件数 約526万件（メールアドレスが含まれる件数は約49万件）
情報項目 「クロネコ代金後払いサービス」を利用された一部のお客さまのお届け先情報 お届け先の氏名、住所、電話番号、送り状番号 対象期間 2021/2/5から2026/9/28 件数 約5万件
情報項目 「クロネコ代金後払いサービス」の一部の加盟店さま情報 加盟店名、社内管理用情報（加盟店コード） 対象期間 2018/10/1から2026/9/28 件数 約4,100件
出典: 同上「1．不正に持ち出された情報と対象範囲」の表
件数は、どれも「約」の付いた数です。
お客さま情報の区分は約526万件で、そのうちメールアドレスが含まれるのは約49万件です。
お届け先情報の区分は約5万件で、対象期間の始まりは2021/2/5です。
加盟店さま情報の区分の項目は、加盟店名と加盟店コードです。
加盟店さま情報の区分の件数は、上の表の3行目のとおりです。
表の下には、注が3つあります。
「※クレジットカード情報、パスワード情報は含まれておりません。」
「※第2報でお知らせしておりました「請求金額」「債権残高」および「当社社員の氏名」につきましては、調査の結果、不正な持ち出しは確認されませんでした。」
「※個人向け会員サービス「クロネコメンバーズ」や法人向け会員サービス「ヤマトビジネスメンバーズ」など、他のサービスからの情報の不正持ち出しは確認されておりません。」
書かれていることと、書かれていないことを分けると、こうなります。
- 書かれていること: 持ち出された情報の項目、対象期間、件数
- 書かれていること: クレジットカード情報とパスワード情報は含まれていない
- 書かれていること: 第2報で挙げた「請求金額」「債権残高」「当社社員の氏名」は、持ち出しが確認されなかった
- まだ書かれていないこと: 不正アクセスの原因と手口は、第4報には書かれていません
二次被害は、現時点で確認されていないと書かれています
二次被害については、第4報の前置きの最後に書かれています。
項目の「2．不審な連絡などへのご注意」でも、ほぼ同じ文で書かれています。
「なお、現時点で本件に関わる情報が不正利用されたことによる二次被害は確認されておりません。」
一方で、不審な連絡についての問い合わせは来ていると書かれています。
「現時点で本件で持ち出された情報が不正利用されたことによる二次被害は確認されておりませんが、「差出人や件名に心当たりのない不審なメール・SMSが届いた」「不審な電話がかかってきた」といったお問い合わせをいただいております。」
続けて、不審な連絡を受けたときのお願いが書かれています。
「不審なメールやSMSを受信した場合は、メール内に記載されたアドレス（URL）へのアクセスや添付ファイルの開封は行わず、メール自体を直ちに削除していただくようお願いいたします。また、不審な電話や郵便物を受けた際には、慎重な対応をお願いいたします。」
このお願いには、迷惑メールについての参考ページへのリンクが添えられています。
参考：ヤマト運輸の名前を装った「迷惑メール」が多発しています。「なりすましサイト」への誘導に十分ご注意ください
第4報は、二次被害は確認されていないとしたうえで、問い合わせが来ていることを書いています。
問い合わせの件数は、第4報には書かれていません。
対象の人には、順次個別に連絡すると書かれています
対象の人への連絡は、表の注のすぐ後に書かれています。
個別に連絡する人と、個別の連絡が難しい人の扱いが、分けて書かれています。
「情報が不正に持ち出されたことが判明した対象の皆さまには、順次個別にご連絡させていただきます。なお、登録情報の変更などにより個別のご連絡が難しい方につきましては、誠に恐れ入りますが本報告をもって通知とさせていただきます。」
個別に連絡するとされているのは、持ち出しが判明した対象の人です。
登録情報の変更などで個別の連絡が難しい人には、第4報そのものが通知になるとされています。
連絡の手段と時期は、第4報には書かれていません。
今後の対応は、「3．今後の対応および再発防止策」に書かれています。
「当社では今回の事態を重く受け止め、すでに実施済みのセキュリティ対策に加え、外部専門機関の助言のもと、今後実施する中長期的な対策を通じて情報セキュリティ体制の強化を推進してまいります。」
実施済みの対策と、これからの対策の中身は、第4報には書かれていません。
第4報の問い合わせ先は、メールアドレス1つです
問い合わせ先は、第4報の末尾にあります。
第4報の【お問い合わせ先】は、次のとおりです。
【お問い合わせ先】 EMAIL：[email protected]
第3報では、加盟店と利用者で窓口が分けて載っていました。
＜クロネコ代金後払いサービスの加盟店の方＞ 決済サービス カスタマーサービスセンター フリーダイヤル：0120-69-5090（受付時間：9:00～18:00）※土日祝日を除く EMAIL：[email protected]
＜クロネコ代金後払いサービスをご利用の方＞ 〔問い合わせフォームの URL の行は略〕 TEL：0570-666-775（受付時間：9:00～18:00）※土日祝日を除く
＜本件に関するお問い合わせ全般＞ EMAIL：[email protected]
出典: ヤマトホールディングス「【第3報】『クロネコ代金後払いサービス』再開のお知らせ」2026年10月9日
利用者向けの窓口には、問い合わせフォームの URL も載っています。
第3報の窓口が第4報の時点でも同じかどうかは、第4報には書かれていません。
第3報には、払込票の支払い期限を延ばす案内もあります。
「サービス停止期間を考慮し、2026年9月28日（月）以降に支払い期限を迎える払込票をお持ちのお客さまにつきましては、お支払い期限を17日間延長させていただきます。」
加盟店に向けた手順は、第4報には項目として載っていません
第4報の項目は、「1．不正に持ち出された情報と対象範囲」「2．不審な連絡などへのご注意」「3．今後の対応および再発防止策」の3つです。
加盟店だけに向けた項目は、この3つの中にはありません。
持ち出された情報の区分に加盟店さま情報が入っていることは、表に書かれています。
店がやること（編集部の整理）
🔵 この節は、キクシル編集部の整理です。公式の記載ではありません。
第4報の表、「2．不審な連絡などへのご注意」のお願い、個別連絡、【お問い合わせ先】の範囲で並べています。
- クロネコ代金後払いサービスの加盟店なら、第4報の表の加盟店さま情報の行で、項目と対象期間を見る
- 第4報が書いている個別の連絡が、届いていないかを見る
- 心当たりのないメールや SMS は、記載された URL を開かず、添付ファイルも開かずに削除する
- 不審な電話や郵便物には、慎重に対応する
- 分からないことは、第4報の【お問い合わせ先】のメールアドレスで聞く
店から購入者へ何かを知らせる必要があるかどうかは、第4報には書かれていません。
🔴 公式に書かれていないこと
次の点は、第1報から第4報までの4本の本文には書かれていません。
第1報と第2報の PDF は画像なので、本文の文字を目で読んでいます。
第2報の2〜3ページ目の画像の細かい文字は、この範囲に入っていません。
- 不正アクセスの原因と手口は書かれていません。第1報は「原因および影響範囲の調査を進める」までです
- 個別の連絡の手段と時期は書かれていません。書かれているのは「順次個別にご連絡させていただきます」まで
- 自分の店や自分の情報が対象かを、自分で調べる方法は書かれていません
- 加盟店が購入者に知らせる必要があるかどうかは書かれていません
- 加盟店が自分でとるべき手順は、項目として書かれていません
- 実施済みの対策と、中長期的な対策の中身は書かれていません
- 第3報の加盟店向け・利用者向けの窓口が、第4報の時点でも使えるかは書かれていません
出典
- ヤマトホールディングス「【第4報】『クロネコ代金後払いサービス』への不正アクセスに関する調査結果と今後の対応について」2026年10月16日
https://www.yamato-hd.co.jp/important/info_260929_1.html
第4報のページからリンクされている過去のお知らせの PDF は、次の3本です。
- ヤマトホールディングス「『クロネコ代金後払いサービス』への不正アクセスの発生について」2026年9月29日
https://www.yamato-hd.co.jp/important/img/info_260929_1_1.pdf - ヤマトホールディングス「【第2報】『クロネコ代金後払いサービス』への不正アクセスの発生について」2026年10月2日
https://www.yamato-hd.co.jp/important/img/info_260929_1_6.pdf - ヤマトホールディングス「【第3報】『クロネコ代金後払いサービス』再開のお知らせ」2026年10月9日
https://www.yamato-hd.co.jp/important/img/info_260929_1_7.pdf
上記だけを、一次情報として使っています。
次の事項は「未確認」として扱い、推測で補っていません。
- 第4報にリンクされている、迷惑メールについての参考ページの中身
- 第2報の2〜3ページ目にある、振込票とご利用の流れの画像の細かい文字
