佐川急便で約7万人分の情報漏えい、通知メールに別人の名前が表示

佐川急便の会員サービス「スマートクラブ」を使っていて、配達予定を知らせるメールに知らない人の名前が載っていた、あるいは自分の情報が誰かに見られたのではと不安になった方へ、先に結論をまとめます。佐川急便は2026年7月18日、配達予定通知メールの一部に、本来とは異なる別の利用者の氏名やメールアドレスなどが表示される不具合が起きたと公式に発表しました。影響が及んだ可能性があるのは約7万人分です。

漏れた可能性があるのは氏名・メールアドレス・荷物の「お問い合せ送り状No.」（追跡番号）の3つで、住所・電話番号・クレジットカード情報は含まれていません。原因は外部からの攻撃ではなく、システムの不具合を直す復旧作業のときに、通知メールの設定を誤ったことだと佐川急便は説明しています。すでに対策は済んでおり、いまはメール通知も正常に動いています。影響を受けた可能性のある人には、佐川急便からお詫びと案内のメールが順次届く予定です。

多くの報道は「約7万人に影響」「設定ミスが原因」という発表をそのまま伝えています。この記事では、スマートクラブを使っている人が自分の対応を判断できるように要点を先に整理したうえで、「別の人の名前が表示されるとは、内部で何がずれたのか」「追跡番号が漏れると何が困るのか」「不具合を直す作業が、なぜ新しい情報漏れを生んだのか」を、システムを作る側の視点でかみくだいて説明します。確認できた事実と、まだ発表されていない部分は分けて書きます。

今回は、誰かに盗まれた事件ではありません。自社のシステムを直す作業そのものが、別の人の情報を混ぜて配ってしまったという、いわば自分でつまずいた事故です。だからこそ、外からの攻撃を防ぐ話とは対策の方向がまったく違います。何が起きたのかを順に見ていきます。

何が起きたのか、時系列で整理する

まず、佐川急便の発表と各社の報道にそって、事実を時系列で並べます。ポイントは、不具合を直す「復旧作業」がきっかけで、別の不具合（別人の情報表示）が生まれたという順番です。

← スワイプで移動

佐川急便によれば、事象が起きたのは7月15日の夕方頃で、翌16日以降は対策済みとされています。約3日後の18日に事実が公表されました。ITmedia NEWSや日本経済新聞も、通知メールに別人の氏名などが表示されたこと、原因がシステム設定の誤りであることを伝えています。朝日新聞はこの事象を「通知メールの誤送信」と表現しました。宛先そのものを間違えたというより、1通のメールの中に別の人の情報が入り込んでいたのが実態に近く、そこが今回の分かりにくさの正体です。

漏れたのは何で、漏れていないのは何か

自分ごととして考えるうえで、いちばん大事なのが「何が外に出た可能性があるか」です。佐川急便の発表をもとに、対象となった情報とならなかった情報を分けて整理します。

住所やカード情報が含まれていない点は、不幸中の幸いです。ただし、油断できないのが「お問い合せ送り状No.」です。これは荷物1個ずつに割り振られる12桁の追跡番号で、佐川急便のお荷物問い合わせサービスにこの番号を入れると、その荷物の配達状況を誰でも確認できます。つまり氏名・メールアドレスとこの番号がそろうと、「この人にいま荷物が届こうとしている」という事実まで、他人に見えてしまう状態になり得ます。あとで触れるとおり、これは佐川急便を装った偽の不在通知詐欺と相性が悪い組み合わせです。

別の人の名前が表示されるとは、内部で何がずれたのか

佐川急便の説明は「配達予定通知メールの設定に誤りが生じた」というものです。短い言葉ですが、ここには通知メールの作られ方を知ると見えてくる中身があります。専門用語をかみくだきながら、何がずれると別人の情報が混ざるのかを説明します。

通知メールは「宛先」と「中身」を後から組み合わせて作られる

配達予定通知のように大量に送るメールは、1通ずつ手で書いているわけではありません。「誰に送るか（宛先リスト）」と「何を書くか（差し込む中身）」を別々に用意し、機械がそれを1件ずつ組み合わせて完成させます。年賀状の宛名印刷で、宛名リストと文面を別々に用意して差し込むのと同じ発想です。この「誰に、どの中身を」という結びつけ（ひも付け）が1件でもずれると、Aさん宛のメールにBさんの中身が入ることになります。

今回「別人の氏名やメールアドレスが表示された」というのは、まさにこのひも付けがずれた状態と考えるのが自然です。宛先の順番と中身の順番が1件ずれる、複数の利用者で共有していた一時的な作業領域（キャッシュ）に前の人のデータが残る、あるいは中身を差し込む変数が違う人のデータを指してしまう。細かな仕組みは佐川急便が公表していないため断定はできませんが、いずれも「宛先と中身の対応表が壊れた」という一点に集約されます。ここは確認できた事実ではなく、通知メールの一般的な作られ方からの推測として書いています。

なぜ「復旧作業」がきっかけになったのか

見落としてはいけないのが、この設定の誤りが不具合を直す「復旧作業」の最中に生まれたという点です。もともと別のシステム不具合があり、それを直す作業を行った結果、通知メールの設定が誤った状態になった、という流れです。直そうとした手当てが、別の場所に穴を開けたことになります。

これは現場では珍しくない事故の形です。トラブル対応中の緊急の手当ては、時間に追われるあまり、普段のリリースなら必ず通す確認やテストの工程を省いてしまいがちだからです。セキュリティ専門メディアのセキュリティ対策Labも、緊急の復旧作業では通常求められるレビューやテストが簡略化されがちで、それが設定ミスにつながるリスクを高めると指摘し、変更管理と複数人によるダブルチェックの重要性を挙げています。今回のように、宛先と中身のひも付けが正しいかは、本番に近いデータで数件だけ送って中身を目視するだけでも気づけたはずの種類のずれです。

この情報が悪用されると、どんな被害になるのか

今回は外部の攻撃者が盗んだ事案ではありません。ただ、宅配便をかたる詐欺グループにとっては、氏名・メールアドレス・追跡番号の組み合わせは使い勝手のよい材料です。仮にこの情報が何らかの形で悪用された場合、どんな被害が想定されるかを整理しておきます。

彼らが得意とするのは、本物そっくりの「不在通知」や「再配達のお願い」を送りつける手口です。氏名で呼びかけ、実在する追跡番号を添えたメールやSMSは、身に覚えのある人ほど本物と信じてしまいます。そこに貼られた偽のリンクを開かせ、佐川急便を装った偽サイトでIDやパスワード、カード情報を入力させるのが狙いです。ふだんは怪しいと分かる詐欺でも、「ちょうど荷物を待っていた」タイミングで、自分の名前と本物の番号が書かれていれば、警戒はゆるみます。

被害の向きは2つあります。荷物を待つ利用者側は、偽の再配達サイトに誘導されてアカウントやカード情報を抜かれる恐れがあります。一方の佐川急便側は、自社を装った詐欺の材料を意図せず渡してしまった格好で、ブランドへの信頼が傷つきます。だからこそ、次に挙げる「今すべきこと」は、住所やカードが漏れていない今回でも決しておろそかにできません。

スマートクラブを使っている人が今すべきこと

スマートクラブの会員や、佐川急便から荷物を受け取る予定のある人が、いま取るべき対応を整理します。特別な設定変更は要りませんが、これからしばらくは佐川を名乗る連絡に注意が必要です。

• ▸佐川急便からのお詫びメールを待つ：影響を受けた可能性のある人には、佐川急便からお詫びと案内が順次届きます。まずは公式からの連絡を確認します。
• ▸不在通知・再配達のメールやSMSは、リンクを直接開かない：荷物の状況を確認したいときは、届いたメールのリンクではなく、佐川急便の公式サイトやアプリを自分で開いて番号を入力します。
• ▸他人の名前が載ったメールが届いていたら、転載・拡散しない：別の人の氏名やメールアドレスが写り込んでいた場合、その内容をSNSなどに載せると、今度は自分が他人の情報を広げる側になります。
• ▸スマートクラブと同じパスワードを他で使い回していたら変える：今回パスワードは漏れていませんが、メールアドレスが第三者に見えた以上、使い回しは狙われやすくなります。この機会に別々のパスワードへ。
• ▸不安な点は公式の問い合わせ窓口へ：内容や自分が対象かどうかは、佐川急便のお知らせと公式の問い合わせ先で確認するのが確実です。

宅配業者をかたる偽メール・偽SMSは、今回の事案とは関係なく以前から広く出回っています。手口や見分け方は、以前まとめた大手メールサービスの漏えいで利用者が取るべき対応の考え方とも重なります。名前や番号が本物でも、リンク先で情報を入力させようとするものは疑う、という一点を守るだけで、多くの被害は防げます。

「攻撃されたわけではない」漏えいをどう受け止めるか

ここからは事実をふまえた筆者の見方です。今回の事案で押さえておきたいのは、外から攻撃されなくても、個人情報の漏えいは起きるという点です。ニュースで漏えいと聞くと不正アクセスやハッキングを思い浮かべがちですが、実際には自社の作業ミスや設定の誤りが原因になるケースが少なくありません。

構図としては、少し前に取り上げた北九州市で別人の国保納付書が届いた不具合とよく似ています。あちらも新システムの設定と機械の噛み合わせがずれ、本来知るはずのない他人の情報が手元に届きました。一方で、外部の攻撃者が侵入した阿波銀行のテスト環境からの漏えいとは、経路も、情報が渡る相手も、危険度もまったく異なります。同じ「漏えい」でも、攻撃によるものと自社のミスによるものは切り分けて考える必要があります。

なお、今回のように多くの人の個人データが外部から見える状態になった場合、企業には個人情報保護委員会への報告と本人への通知が求められるのが原則です（一定の要件に該当する場合）。攻撃かどうかにかかわらず、漏えいは漏えいとして扱われます。佐川急便が発生から公表まで比較的短い期間で事実を出したのは、この枠組みを踏まえた対応とみられます。同じ国内サービスの不具合という点では、供給網ごと止まったニチレイのシステム障害のように、一社のトラブルが利用者や取引先へ広く波及する事例も相次いでいます。

筆者がこれまで見てきた現場でも、事故はトラブル対応中の緊急の手当てで起きることが多いものでした。落ち着いた計画的なリリースより、「今すぐ直さないと」という状況の作業ほど、確認が飛びやすい。今回の教訓は、不具合を直す作業こそ、直った後に「別の場所を壊していないか」を必ず確かめるという、地味だが効く運用に尽きます。

よくある質問

参照元

• ▸佐川急便 - スマートクラブにおける個人情報漏えいのおそれについて（公式お知らせ）
• ▸ITmedia NEWS - 佐川急便、約7万人分の個人情報漏えいか 「スマートクラブ」通知メールに別人の氏名など表示（2026年7月18日）
• ▸日本経済新聞 - 佐川急便で個人情報が漏洩 約7万人分、システム設定の誤りで（2026年7月18日）
• ▸中日新聞Web - 佐川急便7万人情報漏えい 氏名やメアド、設定ミスで
• ▸セキュリティ対策Lab - 佐川急便「スマートクラブ」、システム不具合で約7万人の個人情報漏洩の恐れ
• ▸JapanSecuritySummit Update - 佐川急便「スマートクラブ」で約7万人分の個人情報漏えいのおそれ
• ▸個人情報保護委員会 - 漏えい等が発生した場合の対応