概要と判明した事実
ヤマト運輸は2026年10月16日、同社が提供する後払い決済サービスに対する第三者による不正アクセスが確認され、利用者や加盟店の個人情報が外部に持ち出されたことを公表した。漏えい件数は合計でおおむね約531万件とされている。
ヤマト運輸は、クロネコ代金後払いサービスが第三者からの不正アクセスを受け、利用者の個人情報約531万件が流出したと発表した。
同社の発表と報道を基に確認されたポイントは以下の通りである。
| 項目 | 内容 |
|---|---|
| 流出件数（利用者） | 2018年10月〜2026年9月にサービスを利用した購入者情報 約526万件 |
| 流出件数（届け先） | 2021年2月〜2026年9月の届け先情報 約5万件 |
| 加盟店情報 | 名称・コード等 約4,100件 |
| 含まれた情報項目 | 氏名、住所、電話番号、メールアドレス、商品明細、申込番号、与信番号などの社内管理情報 |
| 含まれていない情報 | クレジットカード情報、パスワード等（同社発表） |
経緯と同社の対応
同社は2026年9月28日に外部からの不正アクセスを確認し、同日夜に該当決済サービスを緊急停止した。その後、外部のセキュリティ専門機関と連携して調査を進め、10月16日にデータの不正持ち出しが確定したと発表した。システムの安全性を確認したとして、同サービスは10月9日に提供を再開しているが、流出の確定はその後に行われた追加調査の結果であった。
また、同社は個人情報保護委員会への報告を済ませており、流出が確認された利用者や加盟店に対して順次個別通知を行っていると説明している。現時点で、流出情報の悪用による二次被害の報告は確認されていないとしている。
流出情報の具体的な範囲とリスク
持ち出されたデータは氏名・住所・電話番号・メールアドレスに加え、購入した商品の名称や数量といった商品明細、および申込番号や与信番号などの社内管理用情報を含む。これらの情報は単体でもフィッシングやなりすまし、詐欺メール送付などの材料になり得る。
特に懸念される点は以下である。
- 送付先や購入履歴を利用した標的型詐欺（購入内容を口実にした問い合わせや支払い請求）
- 電話番号やメールアドレスを使ったフィッシング、SMS／メールでの不審リンク送付
- 加盟店情報の流出により業務上の不正アクセスや取引先を狙った攻撃が増えるリスク
利用者が取るべき具体的な対策
今回の発表を受けて、影響を受けた可能性がある利用者・加盟店は以下の対応を優先して行うことが推奨される。
- 不審な案内に注意：差出人に心当たりのないメールやSMS、メッセージ内のリンクは開かず削除する。
- 請求書や明細を確認：身に覚えのない請求や見覚えのない取引がないか、カードや銀行口座の明細を定期的に確認する。
- 個人情報の使い回しを避ける：他サービスで同一パスワードを使用している場合は変更する（ただしヤマト側ではパスワード流出は確認されていない）。
- 不正利用の兆候を記録：不審な電話やメールが来た場合は日時・内容を記録し、必要に応じて警察や消費者相談窓口に相談する。
- ヤマトからの通知を確認：対象者には同社から個別通知が行われるとしているため、届く連絡の真偽を慎重に確認する。
企業・加盟店がとるべき対応
加盟店側も顧客情報を保持している場合、以下を速やかに実施する必要がある。
- 自社システムのアクセスログを確認し、異常がないか点検する。
- 顧客への通知計画を策定し、被害拡大防止策を講じる。
- 外部のセキュリティ専門家と連携し、脆弱性の有無を調査・是正する。
法的・監督上の観点と今後の注目点
ヤマト運輸は個人情報保護委員会へ報告済みだが、今後の注視点は次の通りである。
- 個人情報保護委員会や監督当局が同社に対してどのような調査・指導を行うか。
- 流出経路と原因の究明結果、及び再発防止策の具体的内容の公表。
- 被害者に対する補償や対策（監視サービスの提供等）の有無。
最後に — 利用者への実務的アドバイス
現時点でクレジットカード情報やパスワードの流出は確認されていないが、氏名・住所・連絡先や購入履歴は詐欺やフィッシングの材料になりやすい。以下を日常的に実践して被害予防に努めてほしい。
- 不審な連絡を受けた場合は、記載された電話番号やリンクではなく公式サイトや公表済みの窓口に自分で確認する。
- 重要な取引の前後は、口座やカード明細を定期的にチェックする習慣をつける。
- セキュリティに関する情報やヤマト運輸からの正式な案内をこまめに確認する。
ヤマト運輸は今回の事案で影響を受けた顧客と加盟店への個別通知を進めている。今後の調査報告や当局の対応、被害の有無などの続報に注目が集まる。
