佐川急便が、不正アクセスの第5報を出しました
佐川急便が、2026年10月23日付で、不正アクセスについての第5報を出しました。
題名は次のとおりです。
「お荷物問い合わせサービス」の再開および 個人情報の流出に関する調査状況について（第5報）
出典: 佐川急便「『お荷物問い合わせサービス』の再開および 個人情報の流出に関する調査状況について（第5報）」2026年10月23日
https://www2.sagawa-exp.co.jp/information/detail/430/
2026年10月24日の13時58分に、本文を2回取りました。
2回とも、中身は同じでした。
第4報は、キクシルでは次の記事で紹介しました。
第4報から変わったのは、再開と件数と対象の範囲です
第4報は2026年10月9日付で、第5報はその2週間後の10月23日付です。
第4報と第5報を読み比べ、第4報に無かった記載も含めて並べると、次のとおりです。
- 停止していた「お荷物問い合わせサービス」が、10月23日に再開しました
- 第4報で示されていなかった件数が、最大約5,323万件と、重複を含む件数で示されました
- 送り状データの対象期間が、6月21日から9月30日までと日付で示されました。第4報の本文には、対象期間の記載がありません
- 手書きの送り状で預けた荷物は、流出の対象に含まれないと書かれました
- 個別の案内が難しいお客さまには、お知らせの公表で通知に代えると書かれました
第2報では、対象期間は「約100日間」と書かれていました。
10月8日時点の FAQ の Q2-2 では、「2026年6月下旬以降」とされていました。
変わっていない点もあります。
不正に利用された事実が確認されていないことは、第4報と同じです。
「お荷物問い合わせサービス」は、10月23日に再開しました
第5報の「1．」は、サービスの再開についての項です。
再開の日程と対象は、次のように書かれています。
・再開日程：2026年10月23日（金）
・対象サービス：インターネット貨物のお荷物問い合わせ
・ご利用方法：当社Webサイトから従来どおりご利用いただけます。
再開の前に、システムの点検とセキュリティ対策をしたと書かれています。
点検と対策は、第三者専門機関の協力のもとで行ったとされています。
再開後も、システムの監視を続けると書かれています。
お荷物問い合わせAPIなど8つのサービスは、停止が続いています
同じ「1．」の項には、引き続き停止しているサービスが並んでいます。
原文の語のまま写します。
なお、以下のサービスにつきましては、引き続き停止しております。
再開が決まり次第、当社Webサイトにてお知らせいたします。
・インターネット貨物のお荷物問い合わせAPI
・飛脚宅配便受付
・飛脚往復便受付
・飛脚往復便（ゴルフ）受付
・商品回収返金サービス
・受取先変更（配達予定からの事前受取先変更）
・受取先変更（不在発生後の受取先変更）
・回収くん
8つのサービスの再開時期は、第5報には書かれていません。
FAQ の Q5-2 も10月23日に更新され、停止中のサービスは同じ8つになっています。
API を使う法人への個別の案内は、FAQ の Q5-7 で、確認を進めているとされています。
流出の可能性がある個人情報は、最大約5,323万件と書かれています
第5報の「2．」は、流出した可能性のある情報についての項です。
件数は、次の1行で示されています。
・個人情報の件数：現時点で最大約5,323万件（重複を含む件数）
この件数は、重複を一定程度整理したうえでの最大件数とされています。
送り状データには、相当数の重複が含まれていると書かれています。
そのため、対象となる方の実人数を示すものではないとされています。
特に送り状データには、相当数の重複が含まれているため、対象となる方の実人数を示すものではありません。
すべての情報が、実際に外部へ流出したと確認した件数でもないと書かれています。
実人数が何人かは、第5報には書かれていません。
区分ごとの件数も、公表していないとされています。
理由は、重複が多く、実人数を適切に示すのが難しいためと書かれています。
集計の範囲については、2つの断りがあります。
- 手書きの送り状で預けた荷物の情報は、流出の対象に含まれていません
- 法人の情報でも、担当者名など個人を識別できる情報は集計に含まれています
法人名など、個人を識別しない情報だけの記録は、集計に含めていないとされています。
対象の情報は3つに分かれ、クレジットカード情報とパスワードは含まれていません
「2．」の2つめの項には、対象となる情報の種類が3つ書かれています。
原文の項目を、そのまま写します。
① 当社でお預かりしたお荷物の送り状データ
対象期間：2026年6月21日から9月30日までの間(約100日間)
※当該システムの送り状データの保管期間に基づく
対象：ご依頼主さま・お届け先さまの氏名、住所、電話番号
② 当社と運賃契約を締結いただいているお客さまの契約者情報（顧客リスト）
対象：氏名、住所、電話番号
③ 当社Webサービス「スマートクラブ」にご登録のお客さまの会員情報
対象：氏名、住所、電話番号、メールアドレス、スマートクラブの会員ID
対象期間の約100日間は、送り状データの保管期間に基づくとされています。
3つの区分の情報には、クレジットカード情報とパスワードは含まれていないと書かれています。
荷物の品名が含まれるかどうかは、第5報には書かれていません。
不正利用などの二次被害は、確認されていないとされています
「2．」の3つめの項は、現在の調査状況についての項です。
二次被害については、次の1文があります。
なお、現時点において、本件に関連する個人情報の不正利用などの二次被害は確認されておりません。
重複の整理は、これからも続けるとされています。
対象となるお客さまの人数を、より正確に把握していくと書かれています。
人数がいつ示されるかは、第5報には書かれていません。
対象のお客さまには、順次案内すると書かれています
第5報の「3．」は、対象となるお客さまへの案内についての項です。
案内は、情報の確認と整理を進めながら、順次行うとされています。
個別の案内が難しいお客さまについては、次のように書かれています。
また、個別のご案内が困難なお客さまにつきましては、誠に恐れ入りますが、本お知らせの公表をもって通知に代えさせていただきます。
同じ項には、佐川急便を装った連絡への注意も書かれています。
なお、当社を装った不審なメール、SMS、電話などに十分ご注意ください。不審な連絡を受けた場合は、記載されたURLにアクセスしたり、個人情報を入力・提供したりしないようお願いいたします。
第5報の末尾には、専用のお問い合わせチャットと専用コールセンターが案内されています。
第4報の末尾にあったのは、専用コールセンターだけでした。
電話番号は0120-28-3449で、受付時間は午前9時～午後5時です。
受付時間には、土日・祝日を含むと書かれています。
出荷人さまには、件数などを確かめ次第、手続きを案内すると書かれています
第5報の「4．」は、個人情報保護委員会への報告についての項です。
佐川急便は、2026年10月1日に速報を出したと書いています。
確報は、出荷人さまとの連名で出す方向で準備しているとされています。
出荷人さまは、配送業務を佐川急便に委託しているお客さまのことです。
連名に同意しない場合の扱いも、第5報の本文に書かれました。
連名での報告にご同意いただけない出荷人さまにつきましては、出荷人さまご自身による報告（速報・確報）が必要となる場合があります。
手続きを案内する条件は、第4報から言い方が変わっています。
第4報は「個人情報の流出件数および影響範囲が確定次第」でした。
第5報は「報告対象となる情報の件数など、必要な事項の確認ができ次第」です。
手続きの中身は、第5報には書かれていません。
自社の出荷履歴は、送り状発行システムで確かめるとされています
同じ10月23日に、FAQ も更新されました。
更新履歴には、「Q2-7」の質問と回答を加えたと書かれています。
出荷履歴が必要な場合は、お手数ですが、現在ご使用いただいている送り状発行システムからご確認ください。
Q2-7 には、3つのシステムごとに確かめ方が載っています。
システムの名前は、「e飛伝Ⅲ」「Biz-LogiWEB」「Biz-LogiWEBⅡ」です。
1回に検索できる範囲は、Biz-LogiWEB が3ヶ月以内、Biz-LogiWEBⅡ が1ヶ月以内とされています。
そのため、対象期間を何回かに分けて検索する必要があると書かれています。
e飛伝Ⅲ の確かめ方は画像だけで示され、文字では書かれていません。
店がやること（キクシル編集部の整理）
第5報と FAQ の、停止中のサービスと出荷人さま向けの記載から並べています。
- 配送アプリや自社のシステムが、お荷物問い合わせAPIで追跡番号を照会しているかを確かめる
- 照会している場合は、APIの停止が続く前提で、購入者への配送状況の伝え方を決める
- 配送状況は、再開した「お荷物問い合わせサービス」で確かめられるかを見ておく
- 対象期間に佐川急便で出荷した店は、送り状発行システムで出荷履歴を確かめる
- 出荷人さま向けの手続きの案内が届いたら、連名で報告するかを決める
- 佐川急便を装ったメールやSMSのURLを開かないよう、店の中で共有する
🔵 上の6つはキクシル編集部の整理で、公式の記載ではありません。
店から購入者へ知らせる必要があるかどうかは、第5報にも FAQ にも書かれていません。
🔴 公式に書かれていないこと
ここに挙げるのは、第5報と、10月23日に更新された FAQ の記載についてです。
次の点は、どちらにも書かれていません。
- 対象となる方の実人数は書かれていません。区分ごとの件数も公表していないとされています
- お荷物問い合わせAPIなど、停止中のサービスの再開時期は書かれていません
- 不正アクセスの原因と手口は書かれていません。FAQ の Q1-2 は調査中としています
- 不正アクセスの発生日時は書かれていません
- 対象のお客さまへ案内する時期は書かれていません
- 連名での報告の手続きの中身は書かれていません
- 店が購入者に知らせる必要があるかどうかは書かれていません
- 荷物の品名が対象に含まれるかどうかは書かれていません。FAQ の Q3-4 は確認を進めているとしています
出典
一次情報として使ったのは、佐川急便の次のお知らせ3本です。
本文は、2026年10月24日13時58分に取ったものを使っています。
- 佐川急便「『お荷物問い合わせサービス』の再開および 個人情報の流出に関する調査状況について（第5報）」2026年10月23日
https://www2.sagawa-exp.co.jp/information/detail/430/ - 佐川急便「『お荷物問い合わせサービス』への不正アクセスによる個人情報流出の可能性について（第4報）2026年10月9日」2026年10月9日
https://www2.sagawa-exp.co.jp/information/detail/426/ - 佐川急便「よくあるご質問（FAQ）｜『お荷物問い合わせサービス』への不正アクセスについて」2026年10月23日
https://www2.sagawa-exp.co.jp/information/detail/425/
次の事項は「未確認」として扱い、推測で補っていません。
- 2026年10月24日13時58分より後に、これらのお知らせが書き換えられたかどうか
- FAQ の Q2-7 に載っている画像の中身
- 第1報から第3報の本文。第4報の記事に引いた分だけを使っています
