日本郵便「調査請求Web受付」に不正アクセスによるサイバー攻撃、迷惑メール約52万通を送信―顧客情報約600件が閲覧可能に|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月17日更新日時: 2026年10月17日

日本郵便株式会社は2026年10月16日、国際郵便物の「調査請求Web受付サービス」で使用するサーバーへの不正アクセスについて、調査で判明した被害を公表しました。サービスに登録された顧客情報約600件が第三者から閲覧できる状態となり、同サービスのメールアカウントからスパムメールが送信されていたことが確認されました。

スパムメールの送信規模について、共同通信は同日、約52万通と報じています。同社の10月16日付公式資料は送信の事実を確認していますが、送信通数は明記していません。顧客情報約600件についても、第三者が実際に閲覧・取得したかは確認されておらず、漏えい確定件数ではありません。

日本郵便「調査請求Web受付」不正アクセスのサマリー

2026年9月25日15時ごろ、国際郵便物の調査請求Web受付サービスのサーバーで不正アクセスの可能性が発覚しました。
10月16日、日本郵便は当該サーバーが実際に不正アクセスを受けたことを公表しました。
同サービスに登録された顧客情報約600件が、第三者によって閲覧可能な状態にありました。
対象には差出人・受取人の氏名、住所、電話番号、メールアドレス、郵便物の問い合わせ番号などが含まれます。
実際に顧客情報が閲覧されたかは確認されておらず、不正利用の形跡も現時点では確認されていません。
サービス用のメールアカウントからスパムメールが送信されました。共同通信の報道によれば約52万通で、送信は7月15日から始まっていました。
日本郵便は、スパムメールの送信先に上記約600件の登録情報が使われていなかったことを確認しています。
日本郵便は対象者に順次連絡する方針です。調査請求Web受付は停止中で、郵便局窓口で書面による申請を受け付けています。

項目	10月16日時点で確認できた内容
運営会社	日本郵便株式会社
対象サービス	国際郵便物の調査請求Web受付サービス
不正アクセス発覚	2026年9月25日15時ごろ
調査結果の公表	2026年10月16日
顧客情報への影響	約600件が第三者に閲覧可能な状態
実際の閲覧・取得	確認されていない
迷惑メール	サービス用アカウントから送信を確認。約52万通と共同通信が報道
迷惑メールの宛先	影響対象の顧客登録情報約600件は使用されていないと確認
サービスの対応	Web受付を停止、郵便局窓口で書面による調査請求を案内

約600件の顧客情報が閲覧可能に、差出人・受取人情報などが対象

日本郵便の10月16日付発表では、第三者が閲覧できる状態となっていた情報として、以下を挙げています。

情報の区分	対象項目
差出人の情報	氏名、住所、電話番号、メールアドレス
受取人の情報	氏名、住所、電話番号、メールアドレス
郵便物に関する情報	お問い合わせ番号、郵便種別、料金、差出郵便局など

受取人の電話番号とメールアドレスは、申請時の任意登録項目です。すべての登録記録に上記すべての項目が含まれるわけではありません。

この約600件は「第三者が閲覧できる状態にあった顧客情報」の件数です。第三者が約600件をすべて閲覧した、データをダウンロードした、あるいは外部に公開したという確認結果ではありません。日本郵便は、現時点で当該情報の不正利用の形跡も確認されていないと説明しています。

氏名や住所に加え、国際郵便物の問い合わせ番号や差出郵便局といった情報も対象に含まれるため、該当する利用者には国際郵便の確認・調査を装った連絡への注意が必要です。これは今後想定されるリスクへの注意喚起であり、今回のデータが詐欺に悪用されたことを示すものではありません。

迷惑メール約52万通、サービスの正規アカウントが悪用される

日本郵便は、調査請求Web受付サービスで使用していたメールアカウントから、スパムメールが送信されていたことを確認しました。

共同通信が10月16日17時47分に配信した記事によれば、送信数は約52万通で、7月15日から送信されていました。送信件数と開始日は同通信社の報道によるもので、10月16日付の日本郵便公式PDFには記載されていません。

日本郵便が注意を呼びかけている送信元メールアドレスは、次のとおりです。

[email protected]

日本郵便は、このアドレスから心当たりのないメールを受信した場合、添付ファイルや本文内のURLを開かずに削除するよう求めています。不正アクセス検知後、このメールアドレスは使用していないと説明しています。

今回の事案で注意したいのは、差出人として表示されるアドレスが日本郵便の実際の業務用アドレスであっても、本文や添付ファイルが安全とは限らない点です。メールの差出人だけで正当性を判断せず、配送・調査請求に関する案内は公式サイトから直接確認するのが安全です。

一方、同社は、スパムメールの宛先に前述の顧客登録情報約600件は利用されていなかったと確認しています。「約52万通のスパム送信」と「約600件の顧客情報が閲覧可能になった事象」は、影響の種類も件数の単位も異なります。

9月25日の第一報から何が変わったのか

日本郵便は9月25日、サーバーに対する外部からの不正アクセスの可能性が判明したとして、調査請求Web受付サービスを停止していました。この時点では不正アクセスの成否や情報への影響は調査中でした。

10月16日の公表では、サーバーが不正アクセスを受けたことに加え、顧客情報の閲覧可能状態とスパムメールの送信が新たに判明しました。第一報の詳しい経緯は、セキュリティ対策Labの日本郵便「調査請求Web受付」不正アクセス第一報に掲載しています。

なお、同時期に公表された郵便局アプリへの不正アクセスとは対象サービスが異なり、両事案が同一の攻撃に由来すると判断できる公式説明はありません。

国際郵便の調査請求は窓口で継続、対象者には順次連絡

調査請求Web受付は、国際郵便物の未着や損傷などを差出人がWebから申請するサービスです。現在は神奈川県・山梨県の郵便局から差し出された一定の国際郵便物を対象に試行しています。すべての国際郵便物や、国内の郵便配達サービスが停止したという発表ではありません。

日本郵便のサービス案内は現在も「システムメンテナンス中」としており、調査請求を行う場合は郵便局の窓口で書面により申し出るよう案内しています。今回の影響対象者には、連絡の準備が整い次第、順次案内するとしています。

不審メールを受け取った場合や対象情報について確認したい場合は、日本郵便の公式サイトから問い合わせ先を確認してください。10月16日付資料では、お客様サービス相談センター（0120-23-28-86、0120-5931-55、携帯電話からは0570-046-666）、受付時間は全日8:00～21:00と案内されています。

利用者と企業のメール管理担当者が確認したいこと

今回の不正アクセスを受け、利用者は日本郵便の調査請求を装ったメールに含まれるURLや添付ファイルを開かないようにしてください。特に、調査請求、配送状況の確認、再配達手続き、料金の支払いなどを理由に認証情報や支払い情報を求める連絡には注意が必要です。受信済みメールが不審な場合はリンクを使わず、公式サイトや窓口から確認します。

企業の情シス・メール管理担当者にとっては、正規の業務用メールアカウントが第三者に悪用された点が参考になります。SPF・DKIM・DMARCなどの送信ドメイン認証は、差出人を偽装したメールの検知に役立ちますが、正規アカウント自体が不正利用された場合の対策をそれだけで完結させることはできません。送信用アカウントの認証情報管理、送信量の急増検知、アカウント停止手順、異常な送信先の調査などを併せて点検する必要があります。

本件でどのような侵入手法・認証情報の不正利用があったかについて、日本郵便は10月16日付資料で説明していません。個別の原因を推定して断定することは避ける必要があります。