ヤマト運輸「クロネコ代金後払い」で不正アクセスによるサイバー攻撃で約531万件の個人情報漏洩の恐れ|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月16日更新日時: 2026年10月16日

ヤマト運輸は2026年10月16日、通販向け決済サービス「クロネコ代金後払いサービス」に対する不正アクセスの調査結果を公表しました。購入者に関する約526万件の情報と届け先に関する約5万件の情報について、第三者による不正な持ち出しが判明しました。このほか加盟店約4,100件の情報も対象です。

持ち出された購入者情報には氏名、住所、電話番号、メールアドレス、商品名・数量・単価などの購入明細が含まれます。クレジットカード情報とパスワード情報は含まれません。同社は対象者へ順次個別に連絡するとしています。

9月28日の不正アクセス確認以降、ヤマト運輸は10月2日に情報漏えいの可能性を公表し、10月9日にサービスを再開していました。今回の第4報で、情報の不正持ち出しが確認された範囲が具体化しました。約531万件は購入者情報と届け先情報の概数を合計したものであり、約531万人の被害が確認されたという意味ではありません。

クロネコ代金後払い不正アクセス・第4報のサマリー

公表日：2026年10月16日。ヤマト運輸がセキュリティ専門機関による調査結果を発表しました。
不正アクセスの確認日は9月28日。個人情報保護委員会への報告を実施しています。
購入者情報：約526万件を不正に持ち出されたことを確認しました。対象期間は2018年10月1日～2026年9月28日です。
購入者情報のうち、メールアドレスを含むものは約49万件です。526万件のすべてにメールアドレスが含まれるわけではありません。
届け先情報：約5万件を確認しました。対象期間は2021年2月5日～2026年9月28日です。
加盟店情報：約4,100件が対象です。加盟店名と加盟店コードを含みます。
購入者情報には商品明細（商品名、数量、単価など）も含まれます。クレジットカード情報とパスワード情報は含まれません。
第2報で持ち出しの可能性を示していた請求金額、債権残高、ヤマト運輸社員の氏名については、不正な持ち出しが確認されませんでした。
10月16日の公表時点では、持ち出された情報が不正利用されたことによる二次被害は確認されていません。
クロネコ代金後払いサービスは10月9日13時に再開済みです。

項目	10月16日時点の公表内容
対象サービス	クロネコ代金後払いサービス
サービス提供者	ヤマト運輸株式会社
不正アクセス確認	2026年9月28日
事件の確認内容	第三者がサービス関連情報の一部を不正に持ち出したことを確認
購入者情報	約526万件（うちメールアドレスを含む情報：約49万件）
届け先情報	約5万件
加盟店情報	約4,100件
対象外と明示された情報	クレジットカード情報、パスワード情報
行政対応	個人情報保護委員会に報告済み
サービス再開	2026年10月9日13時
個別通知	不正に持ち出された情報の対象者へ順次連絡

不正に持ち出された情報の内訳―氏名・住所に加え商品明細も

同社が第4報に示した対象範囲は、次の3区分です。

情報区分	不正持ち出しが確認された情報項目	対象期間	件数
サービス利用者	氏名、住所、電話番号、メールアドレス、商品明細（商品名・数量・単価など）、申込番号・受注日・与信番号などの社内管理用情報	2018年10月1日～2026年9月28日	約526万件
商品の届け先	届け先の氏名、住所、電話番号、送り状番号	2021年2月5日～2026年9月28日	約5万件
加盟店	加盟店名、加盟店コード	2018年10月1日～2026年9月28日	約4,100件

購入者情報と届け先情報を単純に合計すると約531万件になります。ただし、「件」は各情報区分のレコード数として示されているため、重複を除いた実人数を表すものではありません。また、加盟店情報約4,100件は約531万件とは別に示されています。

購入履歴のうち商品名・数量・単価が対象に含まれる点にも注意が必要です。氏名や連絡先に注文内容が結び付くと、購入した商品に言及する偽の請求案内や配送連絡を作られるリスクが生じます。これは情報項目に基づく想定リスクであり、今回の情報を悪用した詐欺が発生したという意味ではありません。

10月2日の第2報から対象範囲を修正―請求金額・債権残高などは不正持ち出しを確認せず

ヤマト運輸は10月2日の第2報で、情報漏えいの可能性がある項目として、請求金額、債権残高、サービス担当社員の氏名も挙げていました。しかし10月16日の第4報では、専門機関による調査の結果、これらの情報について不正な持ち出しは確認されなかったと説明しています。

一方、申込番号・受注日・与信番号などの社内管理用情報や商品明細は持ち出し対象に含まれます。10月2日の「漏えいの可能性がある情報」と10月16日の「持ち出しを確認した情報」を混同しないよう、区別して読む必要があります。

9月28日に停止、10月9日に再開―不正アクセスから調査結果公表まで

日付	経緯
9月28日	クロネコ代金後払いサービスへの第三者による不正アクセスを確認。外部アクセス制限などを実施し、22時28分にサービスを停止
9月29日	ヤマト運輸が不正アクセスの発生を公表
10月2日	第2報で購入者・加盟店情報などの漏えいの可能性を公表
10月9日	第3報でサービスの安全な利用環境が整ったとして13時に再開。調査は継続
10月16日	第4報で購入者約526万件、届け先約5万件、加盟店約4,100件の情報の不正持ち出しを確認したと発表

9月29日の初報についてはクロネコ代金後払いへの不正アクセスとサービス停止で、10月9日の再開と支払い期限の扱いについてはサービス再開と払込票の17日間延長で確認できます。

10月9日の発表によると、9月28日以降に支払期限を迎える払込票は、サービス停止期間を考慮して支払い期限が17日間延長されています。すでに支払いが必要な利用者は、払込票の記載日付だけでなく公式の延長案内も確認してください。

本件による二次被害は確認されず―実際の注文情報を使った不審な連絡に注意

ヤマト運輸は10月16日時点で、持ち出された情報の不正利用による二次被害は確認していないとしています。一方、心当たりのないメール・SMS・電話に関する問い合わせが寄せられているため、不審なURLや添付ファイルを開かないよう呼びかけています。

今回は商品明細と届け先情報が持ち出し対象に含まれます。仮に購入商品・受注日・送り状番号を記載したメールが届いても、その内容が正しいことだけで送信者を信用するのは避けてください。「決済エラー」「返金」「配達先変更」「未払いの再請求」などを名目に連絡があった場合は、メール内のリンクではなく、販売店やヤマト運輸の公式窓口を自分で調べて確認する方法があります。

こうした連絡による認証情報・決済情報の詐取はソーシャルエンジニアリングの手口でも解説しています。今回の不正アクセスとの関係が認められた詐欺事件を示すものではありません。

ヤマト運輸は、対象者に順次個別通知を行う予定です。登録情報の変更などで連絡が難しい場合は、10月16日の公式公表を通知に代えるとしています。