佐川急便のサイトに、不正アクセスの第4報が載りました
佐川急便のサイトのお知らせに、2026年10月9日付で第4報が載りました。
宛先は「お客さま各位」です。
第4報の書き出しは、次のとおりです。
「9月30日および10月1日にお知らせいたしました、当社Webサイトの「お荷物問い合わせサービス（インターネット貨物システム）」への第三者による不正アクセスおよび個人情報流出の可能性（第1報～第3報）につきまして、お客さまならびに関係者の皆さまに、多大なるご迷惑とご心配をおかけしておりますことを、改めて深くお詫び申し上げます。」
出典: 佐川急便「『お荷物問い合わせサービス』への不正アクセスによる個人情報流出の可能性について（第4報）2026年10月9日」2026年10月9日
https://www2.sagawa-exp.co.jp/information/detail/426/
第2報から第4報までの題名の語は、「個人情報流出の可能性」です。
この記事も、ページの語のまま「流出の可能性」と書きます。
第2報で流出の可能性が判明し、第4報でも件数は確認中です
第4報の末尾には、第1報〜第3報と FAQ へのリンクがあります。
5本を日付の順に並べると、書かれていることはこう変わっています。
- 2026年9月30日の第1報: 9月30日に第三者による不正アクセスを確認したと書かれています
- 2026年10月1日の第2報: 個人情報が外部に流出した可能性があると書かれています
- 2026年10月1日の第3報: 専用のお問い合わせ窓口を開設したと書かれています
- 2026年10月8日の FAQ: 寄せられる質問とその回答がまとめられています
- 2026年10月9日の第4報: 新たに判明した事実と、現在の対応状況が書かれています
第1報は、不正アクセスの確認後に、アクセスを一部制限したと書いています。
「当社では、不正アクセスの確認後、対策の一環として、同サービスへのアクセスを一部制限しております。」
出典: 佐川急便「『お荷物問い合わせサービス』への不正アクセスの発生について(第1報）」2026年9月30日
第2報の時点では、件数と範囲は調査中とされていました。
「対象となる件数および範囲は、現在調査を進めております。」
出典: 佐川急便「『お荷物問い合わせサービス』への不正アクセスによる個人情報流出の可能性について（第2報）2026年10月1日」2026年10月1日
第2報は、被害の拡大を防ぐため、当社Webサービスの一部を停止したとも書いています。
第4報でも、件数はまだ示されていません。
件数がいつ示されるかの日付は、第4報には書かれていません。
件数を出していない理由は、次のように書かれています。
「確認が完了していない段階の件数を公表すると、実際とは異なる情報が伝わるおそれがあるため、第三者専門機関の協力のもと、対象となる件数および範囲の確認を進めております。」
その前の段落には、情報の整理を行っている事情が書かれています。
「累計データには同じお客さまの情報が複数回含まれる場合があるほか、送り状に記載された氏名・住所などの表記が異なる場合があります。」
第4報の「新たに判明した事実」は、2つの文で書かれています
第4報の「1．新たに判明した事実」には、次の2つの文があります。
どちらの文にも、「現時点で」の限定がついています。
「・現時点で、他のシステム（インターネット貨物システム以外）およびグループ会社のシステムへの影響は確認されておりません。」
「現時点で、本事案により流出した可能性のある情報が不正に利用された事実は確認されておりません。」
「他のシステム」は、括弧で「インターネット貨物システム以外」とされています。
第4報の「事案の概要」の項には、発覚日時が書かれています。
「発覚日時：2026年9月30日（水）午前7時30分」
不正アクセスの発生日時は、まだ調査中とされています。
「※不正アクセスの発生日時については、第三者専門機関の協力を得ながら、現在も調査を進めております。」
何をきっかけに発覚したかは、第4報には書かれていません。
流出の可能性がある情報は、3つの区分で示されています
情報の区分は、第2報の「1．流出した可能性のある情報」で示されました。
区分ごとの項目を、原文の語のまま写します。
・当社でお預かりしたお荷物の送り主さま・お届け先さま （氏名（法人のお客さまは法人名・ご担当者名）、住所、電話番号）※9月30日から遡り約100日間の累計データ
・当社と運賃契約を締結いただいている法人・個人のお客さま （氏名（法人のお客さまは法人名・ご担当者名）、住所、電話番号）
・当社Webサービス「スマートクラブ」にご登録のお客さま （氏名（法人のお客さまは法人名・ご担当者名）、住所、電話番号、メールアドレス、スマートクラブの会員ID）
出典: 第2報「1．流出した可能性のある情報」の「（1）対象となる可能性のある方と情報」
「約100日間」の範囲は、FAQ の Q2-2 に書かれています。
「2026年9月30日から遡って約100日間（2026年6月下旬以降）にお預かりしたお荷物が対象です。」
出典: 佐川急便「よくあるご質問（FAQ）｜『お荷物問い合わせサービス』への不正アクセスについて」2026年10月8日
第4報も、対象となる可能性のある情報に、同じ3つの区分のお客さまの情報が含まれていると書いています。
第2報の「含まれていない情報」の項には、「クレジットカード情報、パスワード」と書かれています。
FAQ の Q3-5 では、銀行口座情報も「含まれておりません」とされています。
荷物の中身と配送履歴は、FAQ の Q3-4 で確認中とされています。
「荷物の中身（品名）や配送履歴に関する情報を含め、対象情報の詳細について現在確認を進めております。」
書かれていることと、まだ書かれていないことを分けると、こうなります。
- 書かれていること: 対象となる可能性のある方の区分と、情報の項目
- 書かれていること: クレジットカード情報、パスワード、銀行口座情報は含まれていない
- まだ書かれていないこと: 対象となる件数は、第4報には書かれていません
- まだ書かれていないこと: 品名と配送履歴が含まれるかは、確認中とされています
通販で受け取っただけの人も、対象となる可能性があると書かれています
FAQ の Q2-5 は、通販で商品を受け取った人についての質問です。
回答は、次の1文です。
「お届け先さまとして、氏名・住所・電話番号が対象となる可能性があります。」
Q2-4 では、スマートクラブへの登録の有無は問わないとされています。
「スマートクラブへのご登録の有無にかかわらず、該当期間にお荷物をお預かりしたお客さまが対象です。」
自分が対象かを確かめる方法を尋ねる Q2-3 の回答は、次の1文です。
「現在、対象の特定・範囲の確認を進めております。」
確かめる方法がいつ示されるかは、FAQ には書かれていません。
出荷人さまには、連名での報告の手続きを、あらためて案内すると書かれています
出荷人さま、つまり「当社に配送業務をご委託いただいているお客さま」に向けた記載は、第4報と FAQ の Q6-5 にあります。
第4報は、個人情報保護委員会への報告について、次のように書いています。
「当社は、10月1日に個人情報保護委員会へ速報を行いました。今後の報告は、同委員会のガイドライン等に基づき、当社が責任をもって取りまとめ、当社と対象となる出荷人さま（当社に配送業務をご委託いただいているお客さま）との連名で行う方向で準備を進めております。」
書かれている段階は、「連名で行う方向で準備を進めております」です。
「3．今後について」には、出荷人さまへの案内がいつになるかの条件が書かれています。
「対象となる出荷人さまには、個人情報の流出件数および影響範囲が確定次第、連名での報告に関する手続きや必要事項について、当社よりあらためてご案内いたします。」
FAQ の Q6-5 には、連名に同意しない場合の扱いも書かれています。
「連名での報告にご同意いただけない場合は、出荷人さまご自身でのご報告（速報・確報）が必要となります。」
「なお、連名での報告は、出荷人さまご自身による個別のご報告を妨げるものではございません。」
「すでに個別にご報告をいただいている場合も、連名での報告へ切り替えることが可能です。」
Q6-5 は、FAQ の更新履歴で「10月8日」に追加されたとされています。
Q6-5 には、個人情報保護委員会への報告内容は、今後の調査結果に応じて更新するとも書かれています。
連名の手続きの中身は、第4報にも FAQ にも書かれていません。
法人向けのサービスを使っている人への回答も、FAQ にあります。
- Q5-7: 「インターネット貨物お荷物問い合わせAPI」は停止していると書かれています
- Q5-7: 法人のお客さまへの個別の案内は、確認を進めているとされています
- Q5-8: 「回収くん」「商品回収返金サービス」は停止していると書かれています
- Q5-8: 個別のお問い合わせは、担当営業所へとされています
API を使っている店がとるべき手順は、Q5-7 には書かれていません。
一部の Web サービスは、第4報の時点でも停止が続いています
第4報の「サービスへの影響」の項は、停止の継続から書き出されています。
書き出しは、次のとおりです。
「被害拡大防止のため、一部のWebサービスの停止を継続しております。停止中のサービスは、「よくあるご質問（FAQ）」をご確認ください。再開時期は、決まり次第お知らせいたします。」
FAQ の Q5-2 に並んでいる停止中のサービスは、次の9つです。
原文の語のまま写します。
・インターネット貨物お荷物問い合わせ
・インターネット貨物お荷物問い合わせAPI
・飛脚宅配便受付
・飛脚往復便受付
・飛脚往復便（ゴルフ）受付
・商品回収返金サービス
・受取先変更（配達予定からの事前受取先変更）
・受取先変更（不在発生後の受取先変更）
・回収くん
Q5-6 の回答には、「再開時期は未定です。」と書かれています。
第4報には、集荷と配達は続いていると書かれています。
「お荷物の集荷・輸送・配達業務は継続しております。」
FAQ の Q5-4 は、5つのサービスの Web 受付が止まっていると書いています。
そのうえで、「お電話での集荷依頼は承っております」としています。
第4報には、LINE からの問い合わせは使えて、確かめられるのは配送状況のみと書かれています。
「LINEからのお問い合わせは引き続きご利用いただけます。ただし、お問い合わせに対してご確認いただける情報は、お荷物の配送状況のみとなります。」
第4報には、外部からのアクセスを遮断した日時も書かれています。
「被害拡大防止のため、10月1日正午にインターネット貨物システムへの外部からのアクセスを遮断しました。」
再発防止の対策は、これから講じると書かれています
今後の対策は、第4報の「当社の対応状況」の項に書かれています。
監視・検知体制は、関係するシステムを中心に強化したと書かれています。
点検と見直しは、調査結果を踏まえて行うとされています。
「今後、第三者専門機関の協力のもと、調査結果を踏まえ、システム構成、アクセス制御、脆弱性管理、権限管理および監視体制の点検と見直しを行い、再発防止に必要な対策を講じてまいります。」
対策を講じる時期は、第4報には書かれていません。
FAQ の Q6-2 には、警察への相談も書かれています。
「個人情報保護委員会へ報告しております。あわせて、警察への相談も行っております。」
原因は、FAQ の Q1-2 で調査中とされています。
FAQ の Q1-4 は、2026年7月に公表された「スマートクラブ」の件とは「別の事案です」としています。
不審な連絡に注意するよう、お願いが書かれています
第4報の「4．お客さまへのお願い」には、2つの文があります。
どちらも、当社を装った連絡についての文です。
「本事案に便乗し、当社を装った不審なメールやSMS、電話などによる連絡が行われる可能性がありますので、十分にご注意ください。」
「不審な連絡を受けた場合は、メール等に記載されているURLへのアクセス、添付ファイルの開封、個人情報の入力・提供などを行わないようお願いいたします。」
FAQ の Q4-3 は、スマートクラブのパスワードは流出した可能性がある情報には含まれていないとしたうえで、次のように書いています。
「他のサービスと同じID・パスワードに設定されている場合は、パスワードの変更を推奨いたします。」
問い合わせ先は、専用コールセンターと最寄りの営業所に分かれています
第4報の末尾には、問い合わせ先が2つ書かれています。
個人情報流出の可能性についての窓口と、荷物についての窓口です。
1つ目の【個人情報流出の可能性に関するお問い合わせ先】は、次のとおりです。
専用コールセンター 電話番号：0120-28-3449 受付時間：午前9時～午後5時（土日・祝日を含む）
「※フリーダイヤルが混雑し、つながりにくい場合がございます。」
この窓口は、第3報で開設が知らされました。
第3報にも、同じ電話番号と受付時間が載っています。
窓口の対象は「個人情報流出の可能性に関する」お問い合わせとされています。
荷物そのものの問い合わせは、最寄りの営業所とされています。
「お荷物の集荷・配達状況など、お荷物に関するお問い合わせは最寄りの営業所までお願いいたします。」
第2報の時点の問い合わせ先は、「お問合せは最寄りの営業所までお願いします。」でした。
店がやること（編集部の整理）
🔵 この節は、キクシル編集部の整理です。公式の記載ではありません。
第4報と FAQ の、出荷人さま・法人向けの記載と、お客さまへのお願いの範囲で並べています。
- 佐川急便に配送を委託している店なら、対象となる出荷人さまへの案内が届くかを見る
- 案内は件数と影響範囲が確定次第とされているので、佐川急便のお知らせを見ておく
- お荷物問い合わせAPIや回収くんを使っている店なら、FAQ の Q5-7 と Q5-8 を見る
- Q5-4 に挙がっている Web 受付が使えない間は、最寄りの営業所に電話で集荷を頼む
- 佐川急便を装った不審なメールや SMS は、記載された URL や添付ファイルを開かない
店から購入者へ何かを知らせる必要があるかどうかは、第4報にも FAQ にも書かれていません。
🔴 公式に書かれていないこと
次の点は、第1報から第4報と FAQ の、5本の本文には書かれていません。
件数と原因は、第4報と FAQ で、調査や確認を進めているとされています。
- 対象となる件数は書かれていません。第4報は「対象となる件数および範囲の確認を進めております」までです
- 不正アクセスの原因と手口は書かれていません。FAQ の Q1-2 は調査中としています
- 不正アクセスの発生日時は書かれていません。第4報は調査中としています
- 自分や自分の店が対象かを、自分で調べる方法は書かれていません
- 連名での報告の手続きの中身は書かれていません
- 店が購入者に知らせる必要があるかどうかは書かれていません
- 停止中の Web サービスの再開時期は書かれていません
- 対象となるお客さまへの案内の方法は書かれていません。第4報は、確認が完了次第お知らせするとしています
出典
一次情報として使ったのは、佐川急便の次のお知らせ5本です。
どのお知らせにも、PDF の添付はありません。
- 佐川急便「『お荷物問い合わせサービス』への不正アクセスによる個人情報流出の可能性について（第4報）2026年10月9日」2026年10月9日
https://www2.sagawa-exp.co.jp/information/detail/426/ - 佐川急便「よくあるご質問（FAQ）｜『お荷物問い合わせサービス』への不正アクセスについて」2026年10月8日
https://www2.sagawa-exp.co.jp/information/detail/425/
第4報のページからリンクされている過去のお知らせは、次の3本です。
- 佐川急便「『お荷物問い合わせサービス』への不正アクセスの発生について(第1報）」2026年9月30日
https://www2.sagawa-exp.co.jp/information/detail/419/ - 佐川急便「『お荷物問い合わせサービス』への不正アクセスによる個人情報流出の可能性について（第2報）2026年10月1日」2026年10月1日
https://www2.sagawa-exp.co.jp/information/detail/420/ - 佐川急便「『お荷物問い合わせサービス』への不正アクセスによる個人情報流出の可能性について（第3報）2026年10月1日」2026年10月1日
https://www2.sagawa-exp.co.jp/information/detail/421/
上記だけを、一次情報として使っています。
次の事項は「未確認」として扱い、推測で補っていません。
- 営業所検索のページの中身
- LINE の「お荷物問い合わせ」ボタンから見られる画面
- 2026年7月に公表された「スマートクラブ」の件のお知らせの中身
