佐川急便は10月23日、Webサイトの「お荷物問い合わせサービス」への不正アクセスに関する第5報を公表し、流出した可能性のある個人情報が現時点で最大約5,323万件（重複を含む件数）にのぼると明らかにした。同日、停止していた「インターネット貨物のお荷物問い合わせ」を再開したが、集荷受付や受取先変更などのWebサービスは引き続き停止している。
本件は9月30日に不正アクセスが確認され、10月1日に個人情報流出の可能性が公表されていた（10月2日の記事）。これまで件数は「調査中」とされていた。
事案の詳細
佐川急便によると、約5,323万件は、同一の顧客の情報が重複して含まれているものを一定程度整理（名寄せ）したうえで算出した現時点の最大件数。特に送り状データには相当数の重複が残っており、対象となる人の実人数を示すものではないとしている。また、すべての情報が実際に外部へ流出したことを確認した件数でもない。
流出した可能性がある情報は次の3種類。
- 送り状データ（2026年6月21日〜9月30日の約100日間に預かった荷物）：依頼主・届け先の氏名、住所、電話番号
- 運賃契約を結んでいる顧客の契約者情報（顧客リスト）：氏名、住所、電話番号
- Webサービス「スマートクラブ」の会員情報：氏名、住所、電話番号、メールアドレス、会員ID
手書きの送り状で預かった荷物の情報は対象外。クレジットカード情報、パスワード、銀行口座情報も含まれていない。区分ごとの件数は、重複が多く実人数を適切に示せないとして公表していない。法人顧客については、担当者名など個人を識別できる情報を集計に含めている。
侵入経路や原因は、第三者専門機関の協力のもとで調査中で、現時点では明らかにされていない。同社は、本件に関連する個人情報の不正利用などの二次被害は現時点で確認されていないとしている。
サービス面では、10月23日に「インターネット貨物のお荷物問い合わせ」を再開した。一方、お荷物問い合わせAPI、飛脚宅配便受付、飛脚往復便受付、商品回収返金サービス、受取先変更、回収くんなどは停止が続いており、再開時期は未定。集荷は電話で受け付けている。
影響と背景：荷物を「受け取っただけ」でも対象になりうる
対象期間中に佐川急便で荷物を送った人だけでなく、通販で商品を受け取っただけの人も、届け先として氏名・住所・電話番号が対象になる可能性がある。スマートクラブに登録していなくても対象になりうる点に注意が必要だ。同社は対象となる人の特定を進めて順次案内するとしているが、個別の連絡が難しい場合はWebサイトでの公表をもって通知に代えるとしている。
氏名・住所・電話番号の組み合わせは、宅配業者を装った「不在通知」SMSや、再配達を口実にした偽サイトへの誘導と相性がよい。実際に荷物をやり取りしている時期に届く偽の連絡は見分けにくく、今後も便乗した詐欺に警戒が必要だ。
企業にとって重要なのが、個人情報保護委員会への報告の扱いだ。佐川急便は10月1日に速報を提出済みで、確報は同社が内容を取りまとめ、出荷人（配送を委託している企業）との連名で報告する方向で準備を進めている。連名に同意しない出荷人は、自社で速報・確報が必要になる場合がある。対象となる出荷人には、報告対象の件数など必要な事項が確認でき次第、手続きの詳細を案内するとしている。
対策・今後の展望
- 個人の方：佐川急便を名乗る連絡を疑う：SMSやメール、電話で届く「不在通知」「住所確認」「お詫び」などのURLは開かず、個人情報を入力しない。配送状況は、自分で開いた公式サイトの「お荷物問い合わせサービス」か最寄りの営業所で確認する。
- 個人の方：使い回しのパスワードを変える：スマートクラブのパスワードは対象外とされているが、他のサービスと同じID・パスワードにしている場合は変更しておく。
- 出荷人の企業：連名報告への対応方針を決める：佐川急便からの案内を待つだけでなく、連名で報告するか自社で報告するかを社内で決めておく。すでに自社で報告した場合も、連名への切り替えを相談できるとされている。
- 出荷人の企業：対象期間の出荷履歴を確認する：佐川急便のFAQでは、e飛伝ⅢやBiz-LogiWEBなど、利用中の送り状発行システムで2026年6月21日〜9月30日の出荷履歴を確認する方法が案内されている。顧客への説明や問い合わせ対応の準備に使える。
- 停止中サービスの代替手段を確保する：お荷物問い合わせAPIや回収サービスを業務で使っている企業は、再開時期が未定のため、電話集荷など当面の運用手順を整えておく。
問い合わせは、佐川急便の専用コールセンター（0120-28-3449、午前9時〜午後5時、土日・祝日を含む）または専用チャットで受け付けている。
CSRIからの現場アドバイス
【現場で何が起きているか】大規模な漏えいの後には、その企業を装ったフィッシングやSMSが増えるのが通例です。宅配の偽SMSはもともと多い手口で、今回のように本物の氏名・住所・電話番号が出回る可能性がある状況では、文面がより自然になるおそれがあります。社内の問い合わせ窓口にも「佐川を名乗るSMSが来た」という相談が増えることを想定しておくとよいでしょう。
【平易な解説】5,323万件という数字は「5,323万人分」ではなく、同じ人の情報が何度も数えられた延べの件数です。それでも、約100日分の荷物の宛名ラベルの情報がまとめて狙われた、とイメージすると影響の広さが分かります。カード情報やパスワードは含まれていないため、心配すべきは主に「本物らしい偽の連絡」です。
【今週中にできること】個人の方は、佐川急便を名乗るSMSやメールのリンクは開かず、公式サイトから確認する習慣を家族とも共有してください。通販事業者など出荷人の企業は、法務・個人情報の担当者で「連名報告にするか、自社報告にするか」を決め、対象期間の出荷件数と顧客への説明文の準備を進めておくと、佐川急便から案内が届いたときに慌てずに済みます。
関連記事：佐川急便の「お荷物問い合わせサービス」に不正アクセス（10月2日）／佐川急便で個人情報流出の可能性、利用企業は何をすべき？報告義務と必要な対応を解説
参照: 佐川急便 第5報（2026年10月23日） ／ 佐川急便 よくあるご質問（FAQ） ／ Impress Watch