導入

「佐川急便から再配達のお知らせです」。普段なら一瞬、本物かと思ってしまうSMSです。

だからこそ今回の不正アクセスは、企業のシステム障害として終わらせず、普通の利用者も警戒したほうがよさそうです。

何が起きた？

佐川急便は2026年9月30日、同社Webサイトの「お荷物問い合わせサービス」で第三者による不正アクセスを確認したと公表しました。確認後、対策としてアクセスを一部制限し、その後は被害拡大を防ぐためWebサービスの一部を停止しています。

10月1日の第2報では、調査の結果、個人情報が外部に流出した可能性が判明したと発表。同日の第3報では専用コールセンターの開設を案内しました。影響範囲と原因は引き続き調査中です。本記事はこの第3報までに基づきます。

約100日分の荷物情報が対象になり得る

送り主・届け先の情報について、公式発表は「9月30日から遡り約100日間の累計データ」としています。厳密な開始日や対象件数は示されておらず、「何月何日以降なら全員」と区切れる段階ではありません。

これは荷物の送り主・届け先情報に付された期間です。運賃契約者やスマートクラブの全項目にも、同じ約100日の条件が当てはまると一律には説明されていません。

氏名・住所・電話番号

流出した可能性があるとされたのは、預かった荷物の送り主・届け先の氏名、住所、電話番号です。法人の場合は法人名・担当者名を含みます。

佐川急便と運賃契約を結ぶ法人・個人の顧客についても、氏名（法人名・担当者名）、住所、電話番号が対象になり得るとしています。各人のすべての項目が流出したと確定したわけではなく、件数・範囲は調査中です。

スマートクラブ会員情報も

Webサービス「スマートクラブ」の登録者は、氏名（法人名・担当者名）、住所、電話番号、メールアドレス、スマートクラブの会員IDが、流出した可能性のある情報として列挙されています。

会員IDとパスワードは別の項目です。登録者全員の情報が流出したと断定せず、公式の調査結果や続報を確認してください。

カード情報・パスワードは対象外

佐川急便の第2報は、クレジットカード情報とパスワードは、今回流出した可能性がある情報に含まれていないと明示しています。

ただし、住所や電話番号などを使って本物らしく見せる不審な連絡には注意が必要です。カード情報が対象外だから、連絡に書かれたリンクへ入力しても安全ということにはなりません。

会員じゃなくても関係する理由

誰かが佐川で自分宛てに荷物を送れば、届け先として情報が配送データに入る。「会員じゃないから無関係」とは限らない。

配送そのものは？

10月1日の第2報では、荷物の集荷・配達は通常どおり行っていると説明しています。配送そのものと、一部Web機能の停止は分けて考える必要があります。

停止対象として挙げられたのは、インターネット貨物お荷物問い合わせとそのAPI、飛脚宅配便受付、飛脚往復便受付、飛脚往復便（ゴルフ）受付、商品回収返金サービス、配達予定時・不在発生後の受取先変更、回収くんです。

第3報で案内された個人情報流出の可能性に関する専用窓口は0120-28-3449、受付は9〜17時（土日・祝日を含む）。荷物の集配状況などの問い合わせは最寄りの営業所へ、という案内です。サービスの再開状況は公式の最新情報を確認してください。

「佐川っぽい連絡」に注意

再配達、住所確認、荷物保留などを装うSMSやメールが届いても、本文のリンクをすぐ開かず、宅配会社の公式サイトや公式アプリを自分で開いて確認しましょう。

佐川急便も、不審なメール・SMS・電話に注意し、記載URLへのアクセスや個人情報の入力・提供をしないよう呼びかけています。公式Webサービスが停止中の場合は、公式サイトで確認した営業所の窓口を使ってください。

AIが攻撃に使われた？

今回確認した佐川急便の第1〜3報では、攻撃にAIが使われたとは説明されていません。原因も調査中であり、この事件とAIを結び付ける根拠は確認できません。

サイバー攻撃一般の議論と、この事件で判明した事実は別です。「最近不正アクセスが多いからAIのせい」と断定せず、まず利用者が取れる対策と公式の続報を確かめたいところです。

まとめ

今回怖いのは佐川会員だけでなく、荷物の送り主・届け先として普通の人の情報も対象になり得る点です。

現時点で「流出した可能性」であり、対象件数・範囲や原因は調査中です。

今できる対策は、佐川を名乗る連絡のリンクを反射的に押さず、公式サイト・アプリから確認することです。