佐川急便の不正アクセス｜受け取っただけでも対象。配達員が教える偽SMS

不正アクセス 運送・物流

※本記事は2026年10月26日時点の情報です。件数や対象の範囲は各社が調査を続けており、今後変わる可能性があります。最新の発表は、記事の下の出典から各社の公式サイトで確かめてください。

どうもおはこんばんにちは！オッサンです。今日はちょっと気味の悪い話にピカッと来ましたので、お付き合いください。

佐川急便の不正アクセスで、個人情報が最大約5,323万件流出した可能性がある。2026年10月23日に佐川急便が発表した。対象は6月21日〜9月30日の送り状で、荷物を送った人だけでなく、通販で受け取っただけの人も入る。オッサンは宅配の配達をしていて、送り状（伝票）を毎日見ている。お客さんから、届いたSMSが本物かどうか聞かれたことも何度もある。その立場から言いたいことは1つだ。宅配を名乗るSMSやメールが来ても、中のURLは開かない。荷物は自分で公式アプリを開いて調べる。

不正アクセス

しかも、佐川急便だけの話じゃない。9月にはヤマト運輸と日本郵便も不正アクセスを受けていた。この記事では、10月26日時点で分かっていることと、配達員から見た「本物の連絡」と「偽物」の違い、今日やることをまとめて書く。

結論：佐川急便の不正アクセスは、通販で受け取っただけでも対象かもしれない

オッサンの答えは、「自分も入っているかもしれない」と思って、この冬を過ごすこと。そのうえで、やることはこの4つだけだ。

やること 中身
URLは開かない 宅配を名乗るSMS・メールのリンクは押さない。ヤマト運輸と日本郵便は、SMSで不在の連絡はしないと案内している
荷物は自分で調べる 届いた連絡からではなく、公式アプリやブックマークした公式サイトから、伝票番号で確かめる
カード番号・パスワードは入れない 日本郵便は、電話やメールでパスワードやクレジットカード番号を聞くことはないとしている
家族にも話す 同じものが、家族のスマホにも届く

理由は単純で、漏れた可能性があるのが名前・住所・電話番号だからだ。この3つがそろうと、偽物の連絡はぐっと本物っぽくなる。

佐川急便の不正アクセスで分かっていること（10月26日時点）

まず、佐川急便の発表と報道で分かっていることを並べる。

日付（2026年） できごと
9月30日 Webの「お荷物問い合わせサービス」への不正アクセスを確認し、公表
10月1日 個人情報が外部に流出した可能性があると公表。個人情報保護委員会に速報を出し、専用の問い合わせ窓口を開設
10月23日 流出の可能性がある件数を「最大約5,323万件」と公表。Webの荷物問い合わせを再開

集荷と配達は、ずっと通常どおり動いている。止まっているのは、Webでの集荷受付や受取先の変更など、一部のサービスだ（10月23日時点）。

最大約5,323万件。でも「5,323万人」ではない

数字がデカいので驚くが、読み方に注意がいる。5,323万件は重複を含んだ件数で、人数ではない。佐川急便自身が「対象の人数を示すものではない」としている。

たとえば同じ人が期間中に10回荷物を受け取れば、その人の情報は10件として数えられる。名前や住所の書き方が少しずつ違うものも、別々に数えられている。佐川急便は重複を整理して、対象の人数を絞り込むとしている。

それから、これは「流出が確認された件数」ではなく「流出した可能性がある件数」だ。10月23日時点で、不正利用などの二次被害は確認されていない。

対象は6月21日〜9月30日の送り状。届け先も入る

流出した可能性があるのは、主にこの3つだ。

 
 
 
 
 
対象 含まれる情報
送り状のデータ（2026年6月21日〜9月30日の約100日分） 依頼主と届け先の氏名・住所・電話番号など
運賃契約をしている顧客の情報 氏名・住所・電話番号
Webサービス「スマートクラブ」の登録情報 氏名・住所・電話番号・メールアドレス・会員ID
 
 
 
 
 

ポイントは、「届け先」も入っていることだ。佐川急便に荷物を出したことがなくても、通販で買った物が佐川急便で届いていれば、届け先として対象になる可能性がある。

約100日分。夏から秋にかけて通販を使った人なら、どこかで佐川急便の荷物を受け取っていてもおかしくない。うーん..これは「自分は関係ない」と言い切れる人のほうが少ないと思う。

カード情報・パスワードは対象外。手書きの送り状も対象外

一方で、クレジットカード情報とパスワードは対象に含まれないと、佐川急便は説明している。手書きの送り状も対象外だ。

【オッサンの意見】手書きが対象外ということは、出ていった可能性があるのはシステムに入っているデータだということだ。通販の荷物は、お店のシステムで送り状を印刷しているものが多い。だから、自分で荷物を送らない人でも、通販で受け取っている人ほど対象に入りやすいと思っている。

ヤマト運輸と日本郵便も、9月に不正アクセスを受けていた

この秋、宅配の大手3社が続けて不正アクセスを受けている。

会社 狙われたサービス 分かっていること
佐川急便 お荷物問い合わせサービス（9月30日に確認） 最大約5,323万件（重複込み）が流出した可能性。
 
 
 
 
氏名・住所・電話番号など ヤマト運輸 クロネコ代金後払いサービス（9月28日に確認） 利用者情報 約526万件（うちメールアドレス約49万件）、お届け先情報 約5万件などの持ち出しを確認。
 
 
 
 
 
 
 
 
 
氏名・住所・電話番号・メールアドレス・商品明細など 日本郵便 郵便局アプリ（9月29日に公表） 郵便局アプリへの不正アクセスを公表
 
 
 
 
 

ヤマト運輸の件は、通販の代金を後払いにできる「クロネコ代金後払いサービス」を使った人の情報だ。対象期間は2018年10月1日から2026年9月28日までと長い。クレジットカード情報とパスワードは含まれておらず、「クロネコメンバーズ」など他のサービスの情報が持ち出された形跡も確認されていない、と説明している。

ひとつ注意しておく。3社の件数は数え方が違うので、足し算はできない。同じ犯人によるものかどうかも、分かっていない。ここは煽らずに書いておきたい。

漏れたのは「伝票に書いてあること」。配達員が毎日見ている情報だ

伝票には、配達に必要なものが全部書いてある

オッサンは毎日、送り状（伝票）を見ながら荷物を配っている。伝票には、届け先の名前・住所・電話番号と、送り主の名前・住所・電話番号が書いてある。荷物を届けるのに必要なものが、全部そこにある。

今回、佐川急便で流出した可能性があるのは、まさにこの中身だ。配達員が荷物を届けるための情報が、そのまま外に出たかもしれないということになる。

オッサンも、インターホンを押しても出ないお客さんには、伝票の電話番号に電話をかけることがある。伝票の電話番号は、配達員が本当に使う番号なんだよ。それが、配達員じゃない誰かの手に渡ったかもしれない。これはけっこう気持ち悪い。

だから、偽物は「本物っぽく」なる

【オッサンの意見】名前と住所と電話番号がそろっていると、偽物はこんなふうに作れてしまう。

  • 本人の電話番号に、宅配を名乗るSMSが届く
  • 本文に、本人の名前が入っている
  • ヤマト運輸の件のように商品明細まで持っていれば、買った物の名前まで入れられる

ヤマト運輸のFAQには、見分け方として「正規のメールにはお客さまご自身のお名前が記載されています」と書いてある。宛名がないメールは怪しい、という考え方だ。でも、名前が漏れていたら、この見分け方は効かなくなる。

うーん..正直、自分の名前と、この前買った物の名前まで書いてあったら、オッサンでも一瞬信じてしまうと思う。「名前が合っているから本物」は、もう通用しないと思っておいたほうがいい。

しかも、これから年末だ。荷物が増えて、「何か届く予定がある」人が増える。【オッサンの意見】心当たりがある人が増えるということは、偽物にとっては一年でいちばん都合がいい季節だと思っている。

宅配の偽SMSの見分け方｜本物の連絡はどう来るか

ヤマト運輸と日本郵便は「SMSで不在の連絡はしない」

まず、各社の公式の案内を並べる。

URLを開かない、個人情報を入力しないよう呼びかけている—
会社 SMSについての公式の案内 例外
ヤマト運輸 「ヤマト運輸では、SMS（ショートメール）によるご連絡は行っておりません」 クロネコ代金後払いサービスの入金の連絡は、決まった番号（0570-666-775、0032-06-9000）からSMSで届くことがある
日本郵便 SMSで不在の連絡はしていない （株）郵便局物販サービスが送る、不在時のSMSは除く
佐川急便 佐川急便を装った不審なメール・SMS・電話に注意。                 

今回いちばん気をつけたいのは、ヤマト運輸の後払いの例外だ。流出したのは、まさにその後払いサービスの利用者の情報だった。

【オッサンの意見】「後払いの代金が未払いです」というSMSが来たら、まず送ってきた番号が上の2つと同じかを見てほしい。ヤマト運輸のFAQにも、この番号やアドレスに当てはまらない通知は迷惑メールの可能性がある、と書いてある。番号が同じでも、URLは押さずに、自分で公式サイトを開いて確かめるほうが安全だ。

配達員から電話が来ることはある。でもカード番号は聞かない

上に書いたとおり、オッサンもお客さんに電話をかけることがある。だから、「宅配から電話が来た＝偽物」ではない。

見るべきは、電話の中身だ。日本郵便は、電話やメールでパスワードやクレジットカード番号を聞くことはないと案内している。「カード番号を教えてください」「パスワードを確認させてください」と言われたら、そこで切っていい。

迷ったら、いったん切る。そして、自分で調べた公式の番号にかけ直す。本物の配達なら、それで困ることは何もない。配達員の側からしても、かけ直してもらえれば十分だ。

偽SMSによくある文面

日本郵便とヤマト運輸は、実際に出回っている偽物の文面を公開している。

  • 「配送先住所が不明瞭のため、お荷物は配達されませんでした。再配達申請はこちら。」（日本郵便が公開している例）
  • 「ご注文は配送中です。配送料のお支払いはこちらからお願いします」（同）
  • 「お届け先情報が不完全です」「配送先住所が間違っています」「配達失敗通知」「配送中止のお知らせメール」（ヤマト運輸が迷惑メールの例として挙げている文言）
  • 「住所不明による配達失敗のお知らせ」（ヤマト運輸が「急増している」と注意している文面）

共通しているのは、「届かなかった」「住所が分からない」「お金を払え」のどれかで不安にさせて、URLを押させることだ。

住所が不明で届かない、ねぇ..。配達できないとき、オッサンがやってきたのは、インターホンを押す、伝票の番号に電話する、それでもだめなら持ち戻る、だ。配達の現場は、思っているより地味なんだよ（笑）。

お客さんから、届いたSMSが本物かどうか聞かれたことは何度もある。オッサン自身のスマホにも、宅配を名乗る偽SMSはもちろん来たことがある。配達している人間のところにまで来るんだから、向こうは誰に送っているかなんて気にしていない。

【オッサンの意見】配達員に直接聞くくらい、みんな迷っているということだ。偽SMSはもう「たまに来る珍しいもの」じゃない。今回の流出で名前まで入るようになったら、迷う人はもっと増えると思う。

伝票番号が書いてあったら、その番号を自分で公式サイトに入れて調べるのも手だ。ヤマト運輸のFAQによると、調べて「依頼受付」の履歴しか出てこない場合は、実際には発送されていない荷物だという。

「自分も対象かも」と思ったら、今日やること

  1. 宅配を名乗るSMS・メールのURLは開かない。心当たりがあっても、まず開かない
  2. 荷物は、自分で公式アプリや公式サイトを開いて確かめる。届いたメッセージのリンクからではなく、自分の手で
  3. カード番号やパスワードは入れない。入れてしまったら、すぐにカード会社に連絡し、パスワードを変える
  4. 不安なら相談する。佐川急便の件は専用コールセンター（0120-28-3449／午前9時〜午後5時・土日祝も受付）か、公式サイトの専用お問い合わせチャット。警察の相談窓口は#9110
  5. 家族にも話しておく。同じものが、家族のスマホにも届く

佐川急便は、対象の人を特定でき次第、順次知らせるとしている。連絡がつかない人には、ホームページでの公表で代える方針だ。「佐川急便からの対象のお知らせ」を名乗る連絡が来たときも、中のリンクは押さずに、自分で公式サイトを開いて確かめる。ここまでやっておけば十分だ。

オッサンの家は、夫婦と男子2人（15歳と11歳）の4人だ。通販の荷物は、そのとき家にいる誰かが受け取る。オッサン自身も、ついこの前α7 Vを通販でポチったばかりだ（笑）。届け先の名前が誰であっても、偽物の連絡は家族の誰のスマホにも来うる。だからこの話は、家族全員の話だと思っている。

佐川急便の不正アクセスのよくある質問（FAQ）

Q1. 自分の情報が漏れたかどうか、確認する方法はありますか？

2026年10月26日時点で、自分で調べる方法は案内されていません。佐川急便は、対象の人を特定でき次第、順次知らせるとしています。2026年6月21日〜9月30日に佐川急便で荷物を送った人・受け取った人は、対象になっている可能性があると考えておくのが安全です。

Q2. 5,323万人分の情報が漏れたのですか？

いいえ。5,323万件は重複を含んだ件数で、人数ではありません。同じ人が何度も荷物を受け取れば、その回数分が数えられています。また、流出が確認された件数ではなく、流出した可能性がある件数です。10月23日時点で、二次被害は確認されていません。

Q3. クレジットカードの情報は漏れましたか？

佐川急便・ヤマト運輸とも、クレジットカード情報とパスワードは対象に含まれないと説明しています。佐川急便は、手書きの送り状も対象外としています。ただし、偽のSMSやメールからカード番号を入力させようとする手口には注意が必要です。

Q4. 宅配業者を名乗るSMSは、すべて偽物ですか？

ヤマト運輸と日本郵便は、SMSで不在の連絡はしないと案内しています。ただし例外があり、ヤマト運輸のクロネコ代金後払いサービスの入金の連絡は決まった番号からSMSで届くことがあり、日本郵便も（株）郵便局物販サービスが送る不在時のSMSは除くとしています。どちらの場合も、URLは押さずに、自分で公式サイトや公式アプリを開いて確かめるのが確実です。

Q5. 偽SMSのURLを開いてしまったら、どうすればいいですか？

開いただけで何も入力していなければ、画面を閉じてSMSを削除してください。ヤマト運輸は、誤ってURLを開いてカード情報などを求められても入力しないよう呼びかけています。カード番号やパスワードを入力してしまった場合は、すぐにカード会社に連絡してパスワードを変更し、不安があれば警察の相談窓口（#9110）に相談してください。

まとめ：名前が合っていても、宅配のSMSのURLは押さない

  • 佐川急便の不正アクセスで、最大約5,323万件が流出した可能性。重複込みの件数で、人数ではない
  • 対象は6月21日〜9月30日の送り状。通販で受け取っただけの人も、届け先として入る可能性がある
  • ヤマト運輸・日本郵便も9月に不正アクセス。3社の件数は足し算できない
  • 漏れたのは伝票の中身＝名前・住所・電話番号。「名前が合っているから本物」はもう通用しない
  • URLは押さない。荷物は自分で公式アプリを開いて調べる。カード番号は入れない

配達員としては、正直ちょっと悔しい話だ。荷物を届けるために書いてもらった名前や電話番号が、荷物を届けない誰かに使われるかもしれないんだから。

今日やることは1つでいい。スマホに入っている宅配会社の公式アプリを確かめて、入っていなければ入れておく（公式サイトをブックマークするだけでもいい）。そして家族に「宅配のSMSのリンクは押さないで、アプリで見て」と一言伝えておく。それだけで、年末の偽SMSはだいぶ怖くなくなると思う。

配達の仕事の中身は宅配ドライバーがきつい理由の記事に、10月からの宅配の料金の話はゆうパック値上げの記事に書いた。あわせて読んでもらえると嬉しい。

読んでいただきありがとうございます。

出典

 

コメント

タイトルとURLをコピーしました