佐川急便の情報漏えい、自分は対象？最大5,323万件の中身と今やること

トップ/記事一覧/佐川急便の情報漏えい、自分は対象？最大5,323万件の中身と、今やること

ニュース2026年10月23日公開本日更新

この記事のポイント

佐川急便は10月23日、「お荷物問い合わせサービス」への不正アクセスで流出した可能性のある個人情報が最大約5,323万件（重複を含む）だと発表した。6月21日〜9月30日に佐川急便で送った・受け取った荷物の氏名・住所・電話番号などが対象で、カード情報とパスワードは含まれない。自分が対象かは今は確かめられない。

佐川急便は2026年10月23日、Webサイトの「お荷物問い合わせサービス」が不正アクセスを受けた件の第5報を出し、流出した可能性のある個人情報が最大約5,323万件（重複を含む件数）にのぼると発表した。対象は、6月21日から9月30日までに佐川急便が預かった荷物の送り主・届け先の氏名、住所、電話番号など。クレジットカード情報とパスワードは含まれていない。通販で荷物を受け取っただけの人も対象になりうるが、自分が含まれるかを今すぐ調べる方法はない。

6月21日〜9月30日に佐川で送った・受け取った人は対象になりうる

対象になりうる3つのグループを並べた手書き図。6月21日〜9月30日に預けた荷物の送り主・届け先、運賃契約をしている客、スマートクラブ会員。いずれも氏名・住所・電話番号が対象で、スマートクラブ会員はメールアドレスと会員IDも対象。点線の枠の対象外に、クレジットカード、パスワード、銀行口座、手書きの送り状 — 佐川急便の第5報と公式FAQをもとに筆者作成

対象になりうるのは3つのグループだ。1つ目は、2026年6月21日から9月30日まで（約100日間）に佐川急便が預かった荷物の依頼主と届け先。2つ目は佐川急便と運賃契約を結んでいる客。3つ目は会員サービス「スマートクラブ」の登録者で、氏名・住所・電話番号に加えてメールアドレスと会員IDも対象に入る。

期間が約100日間なのは、被害を受けたシステムが送り状のデータをその期間だけ保管していたためだ。スマートクラブに登録していなくても、この期間に佐川急便で荷物を送った人、通販などで受け取った人は対象になりうる（公式FAQ）。法人の場合は、担当者名・住所・電話番号が対象になる。

佐川急便の第5報の「対象となる情報の種類」。対象期間2026年6月21日から9月30日までの間（約100日間）と、クレジットカード情報およびパスワードは含まれていないとする一文を赤枠で囲んでいる — 佐川急便公式お知らせ（第5報、2026年10月23日筆者確認。該当部分を切り出し、赤枠は筆者）

クレジットカード情報、スマートクラブのパスワード、銀行口座情報は含まれていない。手書きの送り状で預けた荷物の情報も対象外だ。荷物の中身（品名）や配送履歴が含まれるかは、10月23日時点で「確認を進めている」とされている。

5,323万件は人数でも、流出を確かめた数でもない

佐川急便の第5報の件数の記載。現時点で最大約5,323万件（重複を含む件数）、対象となる方の実人数を示すものではない、手書きの送り状の荷物は対象外、の3か所を赤枠で囲んでいる — 佐川急便公式お知らせ（第5報、2026年10月23日筆者確認。該当部分を切り出し、赤枠は筆者）

5,323万件は、同じ人の情報が何度も入っている分を一定程度まとめた（名寄せした）うえでの最大の件数だ。何度も荷物を受け取った人は、送り状の数だけ記録が残る。佐川急便は、特に送り状データにはなお相当数の重複が残っているとして、対象になる実際の人数ではないと書いている。グループごとの件数は、重複が多く実人数を示せないとして公表していない。

また、すべての情報が実際に外部へ流出したと確認した件数でもない。「流出した可能性がある」範囲の最大値で、佐川急便は名寄せを続けて人数をより正確に把握するとしている。個人情報の不正利用などの二次被害は、10月23日時点で確認されていない。

自分が対象かは、今は調べられない

佐川急便の公式FAQ。自分が対象かどうかを確認する方法はあるかという質問に、対象の特定を進めていて順次案内するとの回答。通販で商品を受け取っただけでも対象になるかという質問も赤枠で囲んでいる — 佐川急便公式FAQ（2026年10月23日更新版を同日に筆者確認。該当部分を切り出し、赤枠は筆者）

佐川急便は対象者の特定を進めていて、確認できた人から順次案内するとしている。照会用のページや検索窓は用意されていない。送り状データは同じ人の情報が何度も含まれ、氏名や住所の書き方も揺れるため、特定に時間がかかっているという。

個別に連絡できない人については、佐川急便のWebサイトのお知らせを「通知」とみなすとしている。期間中に佐川急便の荷物を送ったり受け取ったりした覚えがあれば、連絡を待たずに対象になりうる前提で動いたほうがいい。

佐川急便に配送を任せている通販事業者などは、手元の送り状発行システムで対象期間の出荷履歴を確かめられる。公式FAQは、e飛伝Ⅲ、Biz-LogiWEB、Biz-LogiWEBⅡでの確かめ方を画面つきで案内している。Biz-LogiWEBは一度に3か月、Biz-LogiWEBⅡは1か月までしか検索できないため、期間を分けて検索する。

一番の注意は、佐川を名乗るSMSと電話

佐川急便の迷惑メールへの注意喚起ページ。当社ではお荷物の集配についてショートメール（SMS）による案内は行っていない、という一文を赤枠で囲んでいる — 佐川急便「佐川急便を装った迷惑メールにご注意ください」（2026年10月23日筆者確認。該当部分を切り出し、赤枠は筆者）

漏れた可能性があるのは氏名・住所・電話番号の組み合わせだ。名前と住所を正しく書いた「不在のため持ち帰りました」「住所不明でお預かりしています」といったSMSや電話は、本物らしく見えやすい。佐川急便は荷物の集配についてSMSで案内していないと、迷惑メールへの注意を呼びかけるページで明言している。佐川急便を名乗るSMSのリンクは開かない。

佐川急便の公式FAQ。当社を装った不審なメール・SMS・電話への注意と、他のサービスと同じIDとパスワードを使っている場合はパスワード変更を推奨する一文を赤枠で囲んでいる — 佐川急便公式FAQ（2026年10月23日更新版を同日に筆者確認。該当部分を切り出し、赤枠は筆者）

メールや電話でも、書かれたURLにアクセスしない、個人情報を入力・提供しない、が公式の呼びかけだ。荷物の状況を確かめたいときは、届いたメッセージからではなく、ブックマークや検索から佐川急便の公式サイト（www.sagawa-exp.co.jp）を開き、送り状の番号で問い合わせる。身に覚えのない請求や、頼んでいない荷物が届いた場合も慎重に扱うよう求めている。

スマートクラブの会員は、メールアドレスと会員IDも対象に入る。パスワードは対象外だが、同じIDとパスワードをほかのサービスでも使っているなら、変更が推奨されている。

荷物の追跡は10月23日に再開。Webの集荷受付などは止まったまま

佐川急便の第5報。お荷物問い合わせサービスの再開日程2026年10月23日（金）と、引き続き停止しているサービスの一覧の書き出しを赤枠で囲んでいる — 佐川急便公式お知らせ（第5報、2026年10月23日筆者確認。該当部分を切り出し、赤枠は筆者）

停止していた「お荷物問い合わせサービス」（インターネット貨物のお荷物問い合わせ）は、10月23日に再開した。送り状の番号で配送状況を調べられる。集荷・配達そのものは、9月30日以降も通常どおり続いている。

次のWebサービスは、10月23日時点でまだ止まっていて、再開時期は決まっていない。

▸飛脚宅配便・飛脚往復便・飛脚往復便（ゴルフ）のWeb受付
▸受取先変更（配達予定からの事前変更、不在後の変更）
▸法人向けの、お荷物問い合わせAPI、商品回収返金サービス、回収くん

集荷はWebでは頼めないが、最寄りの営業所に電話すれば受け付けている。スマートクラブが今使えるかは「確認している」とされていて、10月23日時点で答えは出ていない。

問い合わせは専用ダイヤル 0120-28-3449（9時〜17時、土日祝も受付）

この件の問い合わせ先として、佐川急便は専用コールセンター（0120-28-3449、午前9時〜午後5時、土日・祝日も受付）と、Webの専用チャットを用意している。チャットは佐川急便のトップページの「不正アクセスに関するお問い合わせチャット」から開ける。荷物の集荷や配達状況についての問い合わせは、最寄りの営業所が窓口になる。

9月30日に発覚し、10月23日の第5報で件数が出た

▸9月30日 お荷物問い合わせサービスへの第三者による不正アクセスを確認し、アクセスを一部制限（第1報）
▸10月1日 個人情報が外部に流出した可能性があると公表し、一部のWebサービスを停止（第2報）。同じ日に個人情報保護委員会へ速報を出した
▸10月9日 第4報。対象の情報と停止中のサービスを改めて案内
▸10月23日 お荷物問い合わせサービスを再開し、最大約5,323万件という件数を公表（第5報）

不正アクセスの原因や侵入の経路は、10月23日時点で明らかにされていない。佐川急便は第三者の専門機関と調査を続けていて、警察にも相談している。個人情報保護委員会への確報は、配送を任せている荷主と連名で出す方向で準備しているという。

2026年7月に公表された、配達予定の通知メールに別人の名前が表示された件とは別の事案だ。7月の件は不具合の復旧作業での設定ミスで、不正アクセスではなかった（7月の件の記事）。今回は第三者による不正アクセスが確認されている。ほかの国内の不正アクセスは国内の不正アクセス・情報漏えい一覧にまとめている。