佐川急便に不正アクセス、約100日分の荷物データ流出か──「受け取っただけ」の人も対象になる理由と、いま警戒すべき偽SMS
佐川急便が、荷物の配達状況を調べる「お荷物問い合わせサービス」に第三者からの不正アクセスがあったと発表しました。10月1日には、顧客の個人情報が外部に流出した可能性があると明らかにしています。
対象は、9月30日からさかのぼって約100日分の荷物の送り主・届け先の氏名、住所、電話番号です。佐川の会員でなくても、この期間に佐川で荷物を受け取っただけで含まれている可能性があります。
クレジットカード情報とパスワードは流出の対象外とされています。いちばん現実的なリスクは、本名と住所を知ったうえで「佐川急便」を名乗る偽のSMSやメール、電話が届くことです。
まず押さえたい要点
- 流出した可能性があるのは、荷物情報（送り主・届け先）、運賃契約先の顧客情報、「スマートクラブ」会員情報の3種類
- 荷物情報は9月30日までの約100日分。6月下旬以降の荷物がおおむね該当する計算
- 問い合わせや集荷依頼など9つのWebサービスを停止中。集荷と配達そのものは通常どおり
- 影響を受けた人数は調査中で、まだ公表されていない
何が起きたのか：問い合わせ窓口が入り口になった
経緯は2段階で明らかになりました。まず9月30日に不正アクセスを公表し、翌10月1日に「個人情報が外部に流出した可能性がある」と踏み込んでいます。
入り口となった「お荷物問い合わせサービス」は、伝票番号を入れると荷物がいまどこにあるかを確認できる、利用者にとって最もなじみのある機能です。ITmediaなどの報道によると、流出した可能性がある情報は次の3種類です。
流出の可能性がある情報
| 区分 | 含まれる情報 | 主に関係する人 |
|---|---|---|
| 荷物情報（約100日分） | 送り主・届け先の氏名、住所、電話番号 | 荷物を送った人、受け取った人 |
| 運賃契約の顧客情報 | 法人・個人の名称、住所、電話番号 | 佐川と運賃契約を結ぶ事業者など |
| スマートクラブ会員情報 | 氏名、住所、電話番号、メールアドレス、会員ID | 佐川のWeb会員サービス利用者 |
一方で、クレジットカード情報とパスワードは含まれていないと説明しています。ログインを乗っ取られたり、カードを不正利用されたりする直接の危険は、現時点の発表では低いと読めます。
止まっているもの、動いているもの
佐川は予防措置として、問い合わせサービスとそのAPI、集荷の受付、返品関連の回収サービスなど9つのWebサービスを止めています。
- 止まっている：Web上での荷物の追跡、ネットからの集荷依頼、返品回収などのWeb受付
- 動いている：ドライバーによる集荷と配達
荷物そのものは届きます。ただ、通販サイトの購入履歴から追跡番号をタップしても、しばらくは状況を確認できない場面が出てきます。追跡機能を自社システムにつないでいるEC事業者にとっては、APIの停止がそのまま問い合わせ対応の負担になります。
なぜ重要か：「佐川を使った覚えがない人」まで対象になる
今回の件が重いのは、被害の範囲が佐川の顧客名簿ではなく、荷物の流れそのもので決まっている点です。
ネット通販で買い物をすれば、出荷元が佐川を選んだ時点で、あなたの氏名と住所と電話番号は佐川の伝票データに載ります。自分で佐川に申し込んだことも、会員登録したこともない人が、この夏に通販の荷物を1つ受け取っただけで対象に入りうるわけです。ネット上でも、会員ではないのに自分が含まれるのかと戸惑う受け止めが目立ちます。
偽SMSが「それらしく」なる
佐川急便を名乗る「不在通知」の偽SMSは、以前から典型的な詐欺の手口として知られてきました。これまでの多くは、宛名のない一斉送信です。
今回流出した可能性があるのは、氏名・住所・電話番号の組み合わせです。もし悪用されれば、次のような変化が起こりえます。
- 本名入りで「〇〇様のお荷物について」と呼びかけるSMSやメール
- 実際に荷物を受け取った時期と重なる内容で、真偽の見分けがつきにくい連絡
- 住所を正確に言い当てたうえで、再配達料や関税を求める電話
これは現時点で確認された被害ではなく、流出した情報の種類から想定されるリスクです。佐川自身も、同社をかたるメールやSMS、電話に注意し、不審なリンクを開かず、個人情報を入力しないよう呼びかけています。
ここがポイント: 流出が疑われるのはカード番号ではなく「名前・住所・電話番号のセット」。お金を直接抜かれる危険より、本物らしく作り込まれた詐欺の入り口になる危険のほうが大きい。
7月にも別件のトラブル
セキュリティ情報サイトの報道によると、スマートクラブでは2026年7月にも、システムの設定ミスで約7万人の会員に影響するトラブルが起きていました。今回の不正アクセスとは別件とされています。
それでも、同じ会員サービスで3か月のうちに2度、個人情報をめぐる問題が起きたことになります。原因と再発防止策の説明が求められるのは避けられません。
生活への影響：今日からできる自衛策
佐川からの個別連絡を待つ前に、受け取る側でできることがあります。どれも手間は数分です。
受け取る人がやること
- SMSやメールのリンクは開かない：荷物の状況は、通販サイトの注文履歴や公式アプリなど、自分から開ける経路で確かめる
- 「佐川」を名乗る電話で支払いに応じない：再配達に料金はかからないのが通常で、その場で決済を求める話は疑う
- 名前を呼ばれても信用しない：本名や住所を知っていることは、もう本物の証拠にならない
- 家族、特に高齢の家族に一言伝える：通販を使わない人でも、贈り物を受け取っていれば対象になりうる
事業者・スマートクラブ会員がやること
- 運賃契約を結ぶ事業者は、取引先や顧客から「佐川を名乗る連絡が来た」という問い合わせへの答え方を決めておく
- 追跡APIを使うEC事業者は、Webサービスの停止中に購入者へどう配送状況を伝えるかを確認する
- スマートクラブ会員は、登録メールアドレスに届く不審なメールに特に注意する。パスワードは流出対象外とされていますが、ほかのサービスと同じものを使っているなら、この機会に変えておくと安心です
今後の注目点：数と原因、そして「誰に知らせるか」
現時点で分かっていないことが多く残っています。続報で見るべきは次の点です。
- 対象人数：約100日分の荷物が何件、何人分にあたるのか。佐川の取扱規模を考えると、数字は大きくなる可能性があります
- 侵入の手口：問い合わせサービスのどこから、どう入られたのか。追跡番号を入れるだけで情報が出る仕組みに弱点があったのかどうか
- 本人への通知方法：受け取っただけの人の連絡先を、佐川がどう特定して知らせるのか。会員でない人への通知は難しく、ここが最大の実務課題になります
- Webサービスの再開時期：9つのサービスが止まったままでは、EC事業者と利用者の不便が続きます
- 個人情報保護委員会への報告と対応：法律上の報告義務に沿って、行政がどう関与するか
荷物の追跡ページは、誰もが気軽に使う「窓口」でした。そこから宛名データがまとめて抜かれた可能性があるという事実は、物流のデータが送り主だけでなく受け取る側の個人情報でもあることを改めて突きつけています。
まずは今日から数週間、「佐川急便」と名乗る連絡はすべて、自分から公式の経路で確かめ直す。それが一番確実な対策です。