宅配の情報漏洩はどこまで、ヤマト・佐川・日本郵便の不正アクセスで流れた情報と偽SMSの見分け方

4社で何が起きたのか

9月20日に攻撃を受けた物流会社エスケーロジ（9月24日に公表）に続き、9月29日から10月1日にかけて、日本郵便・ヤマト運輸・佐川急便が相次いで不正アクセスを公表しました。どこまで漏れたのかを、各社の公表で比べます。

漏れた可能性のある情報と件数

日本郵便は郵便局アプリへの不正アクセスを受け、9月25日22時30分ごろに緊急メンテナンスを行い、9月29日に公表しました。ヤマト運輸は9月28日にクロネコ代金後払いサービスへの不正アクセスを確認し、9月29日に第1報、10月2日に第2報を出しています。佐川急便は9月30日にお荷物問い合わせサービスへの不正アクセスを検知し、10月1日に情報が流出した可能性を公表したと報じられています。

出典：日本郵便（2026年9月29日）、ヤマトホールディングス（第2報 2026年10月2日）の公表。佐川急便はLOGISTICS TODAY（2026年10月2日）、INTERNET Watch（2026年10月2日）の報道。エスケーロジは同社の発表（2026年9月24日）を伝えた報道による。2026年10月6日に確認。

クレジットカード情報とパスワードは、ヤマト運輸・佐川急便ともに含まれていないとしています。日本郵便が公表した項目にもカード情報はなく、不正に利用された形跡は確認されていないとしています。件数を公表しているのは日本郵便だけで、ヤマト運輸と佐川急便は2026年10月6日時点で調査中です。

止まったサービスと、ふだんどおりのサービス

ヤマト運輸はクロネコ代金後払いサービスの復旧時期を未定としていますが、宅急便を含む他のサービスは通常どおりとしています。佐川急便は、インターネットでの荷物の問い合わせ、API、飛脚宅配便や往復便の受付、受取先の変更、商品回収返金サービスなどを止めました。荷物の集荷と配達は通常どおりと報じられています。日本郵便は緊急メンテナンスのあと、9月26日に郵便局アプリとゆうIDを再開しました。

物流の受託会社エスケーロジは、9月20日午前2時ごろに攻撃を受け、受注システムを止めました。出荷指示の一部に制限があり、在庫の情報もシステム上で確かめにくい状態と報じられています。

漏れた情報は何に使われうるのか

今回の情報で気をつけたいのは、宅配会社を装う偽の通知です。各社は、自分たちが送らないメッセージを公表しています。

送り状の情報は、偽の配達通知を本物らしく見せる

送り主の名前、届け先の住所、品名がそろった情報があれば、実際に届く予定の荷物に合わせた通知を作ることができます。名前や品名が正しく書かれていると、宛名のない通知より本物と見分けにくくなります（当社の見方）。

フィッシング対策協議会によると、2026年8月のフィッシングの報告件数は82,338件で、7月より16,219件増えました。8月にかたられたブランドの上位はAmazon・Apple・ANAで、宅配会社を名指しした記述はありません。今回の情報が実際に偽の通知に使われたという公表は、2026年10月6日時点で当社が確認した範囲ではありません。

各社が「送らない」としているメッセージ

出典：ヤマト運輸「ヤマト運輸を装った迷惑メールにご注意ください」（2025年8月26日更新）、佐川急便の注意喚起（LOGISTICS TODAY 2025年5月13日の報道）、日本郵便「日本郵便を装った不審メール及び架空Webサイトにご注意ください」。2026年10月6日に確認。

日本郵便は、なりすましメールの対策としてドメインの認証技術（SPF・DKIM）を入れていると説明しています。こうした仕組みはメールのためのもので、SMSには使えません。SMSでは、本文のリンクから開かないことが基本になります。

会社に課される義務と、荷主への影響

不正アクセスで個人データが漏れたおそれがあるとき、会社には国への報告と本人への通知が求められます。宅配会社の外でも、荷物を出す通販事業者などに影響が及びます。

個人情報保護委員会への報告と本人への通知

個人情報保護法では、①要配慮個人情報、②財産的な被害が生じるおそれがある情報、③不正の目的による漏えい（不正アクセスなど）、④1,000人を超える漏えい、のいずれかにあたる場合に、個人情報保護委員会への報告が義務になります。不正アクセスは③にあたるため、件数が少なくても報告の対象です。

報告は、知ってから3〜5日以内の速報と、30日以内（不正の目的による場合は60日以内）の確報の2段階です。あわせて、本人への通知も求められています（個人情報保護法第26条第2項）。ヤマト運輸と日本郵便が「個別に連絡する」としているのは、この通知にあたると考えられます（当社の見方）。

通販事業者など荷主の側で起きること

ヤマト運輸の件で漏れた可能性がある情報には、加盟店名と加盟店コードが含まれます。クロネコ代金後払いサービスを使っている通販事業者の名前と、その店で買った人の商品明細が結びつく形です。買った人からの問い合わせは、まず店に届くことになります（当社の見方）。

佐川急便の件では、運賃の契約を結んでいる法人・個人の情報も対象です。エスケーロジのように物流を受託する会社のシステムが止まると、荷主の側では受注や出荷の指示が通らなくなります。荷主にとっては、委託先から連絡を受ける窓口と、顧客への案内文を決めておくことが備えになります（当社の見方）。

偽SMS・偽メールが届いたときに確かめる3つのこと

宅配会社を名乗るSMSやメールが届いたときに、確かめることをまとめました。いずれも各社が公表している案内にもとづきます。

よくある質問

自分の情報が漏れたかどうかは、どうすれば分かりますか

ヤマト運輸は漏えいが確認された人に個別に連絡するとしており、日本郵便も対象の人に書面等で個別に連絡するとしています。佐川急便は件数と範囲を調査中で、専用の窓口（0120-28-3449、9時〜17時、土日・祝日も受付と報道）を設けています。

クレジットカードを止める必要はありますか

ヤマト運輸と佐川急便は、漏れた可能性のある情報にクレジットカード情報とパスワードは含まれないとしています。日本郵便の公表した項目にもカード情報はありません。ただし、偽のサイトでカード番号を入力してしまった場合は、すぐにカード会社に連絡してください。

宅配会社からSMSで不在連絡が来ることはありますか

ヤマト運輸はSMSで不在連絡やお届け予定を送らないとしており、佐川急便も集配についてSMSで案内しないとしています。こうしたSMSのリンクは開かず、公式アプリか公式サイトで伝票番号から確かめてください。

3社の不正アクセスは同じ攻撃ですか

2026年10月6日時点で、当社が確認した範囲では、3社の件を結びつける公表や報道はありません。いずれも原因と影響範囲は各社が調査中としています。

なぜプラスチックパレット株式会社がこの記事を書いているのですか

当社は物流資材を扱っており、宅配便や物流の動きを日々追っています。荷物を送る人・受け取る人の両方に関わる出来事のため、各社の一次資料をもとに整理しました。