ヤマト運輸のクロネコ代金後払いサービスからの情報の不正な持ち出し
- タグ
- 国内
ヤマト運輸の2026年10月16日の第4報によると、不正アクセスを受けた「クロネコ代金後払いサービス」の調査で、利用者とお届け先、加盟店の情報の一部が不正に持ち出されたことが判明した［4］。ヤマト運輸は、情報が不正利用されたことによる二次被害は確認されていないと説明した［4］。
経緯
ヤマト運輸の第1報によると、不正アクセスの確認後、速やかに外部からのアクセス制限など必要な対策を講じた〔注1〕［1］。セキュリティ専門機関の協力を得て原因と影響範囲を調べながら、復旧に向けた対応を行っているとした［1］。宅急便を含む他のサービスは、通常どおり利用できる［1、2］。
ITmedia NEWSは9月29日の記事で、9月28日夜から複数の通販サイトで、システム障害により後払い決済が利用できなくなっていると案内されていたと報じた［11］。ヤマト運輸はITmedia NEWSの取材に、個人情報漏えいの可能性は調査中と答えた［11］。
ヤマト運輸の第2報では、セキュリティ専門機関の協力を得た調査の中で、情報の一部が漏えいした可能性があることが判明した［2］。主な情報として、利用者と加盟店、担当社員の情報を挙げた［2］。
時系列
影響範囲
ヤマト運輸は第2報で、クロネコ代金後払いサービスを、通販サイトで注文した商品を先に受け取った後、払込票やスマートフォンに届く通知から、後日コンビニなどで代金を支払うサービスと説明した［2］。ネットショップ担当者フォーラムは、ヤマト運輸が商品代金を購入店に立て替えて支払い、購入者に請求する仕組みだと報じた［12］。
| 区分 | 対象期間 | 件数 | 含まれる情報 | 資料 |
|---|---|---|---|---|
| 利用者の情報 | 2018年10月1日〜2026年9月28日 | 約526万件（メールアドレスを含むものは約49万件） | 氏名、住所、電話番号、メールアドレス、商品明細（商品名、数量、単価など）、社内管理用情報（申込番号、受注日、与信番号など） | ［4］ |
| お届け先の情報 | 2021年2月5日〜2026年9月28日 | 約5万件 | お届け先の氏名、住所、電話番号、送り状番号 | ［4］ |
| 加盟店の情報 | 2018年10月1日〜2026年9月28日 | 約4,100件 | 加盟店名、社内管理用情報（加盟店コード） | ［4］ |
第2報と第4報では、持ち出しや漏えいの対象にクレジットカード情報とパスワード情報は含まれていない［2、4］。第2報が挙げた「請求金額」「債権残高」「当社社員の氏名」は、調査の結果、不正な持ち出しが確認されなかった［4］。「クロネコメンバーズ」「ヤマトビジネスメンバーズ」など他のサービスからの情報の不正な持ち出しも、確認されていないとした［4］。
対応と現状
ヤマト運輸の措置と依頼
ヤマト運輸の第4報によると、個人情報保護委員会に報告している［4］。情報が不正に持ち出されたことが判明した対象者には、順次個別に連絡する［4］。登録情報の変更などで個別の連絡が難しい人には、第4報をもって通知とした［4］。
ヤマト運輸は第3報で、サービスの停止期間を考慮し、9月28日以降に支払い期限を迎える払込票を持つ利用者の支払い期限を17日間延長するとした［3］。払込票の「お支払期限日」が10月1日の場合、変更後の期限は10月18日になる［3］。
第3報と第4報では、「差出人や件名に心当たりのない不審なメール・SMSが届いた」「不審な電話がかかってきた」といった問い合わせが寄せられている［3、4］。ヤマト運輸は利用者に、不審なメールやSMSは記載のURLにアクセスせず、添付ファイルも開かずに削除し、不審な電話や郵便物には慎重に対応するよう求めた［2、4］。
決済に使っていた事業者の告知
アエナは10月1日の告知で、公式アプリの決済手段「代金後払い決済」が、システム提供元のヤマト運輸で起きた外部からの不正アクセスによる障害で緊急停止していると説明した［8］。「代金後払い決済」を指定した注文は、出荷作業と決済手続きができない状態だった［8］。「9/28(月) 22:28 時点」で同決済の注文があった客には、個別にメールを送った［8］。
アエナの10月5日の続報では、公式アプリの代金後払い決済で支払った客の情報が、対象の情報に含まれている可能性がある［9］。ヤマト運輸からの請求書（はがき）の発行も止まっている［9］。アエナは、公式アプリのシステムから情報が流出した形跡は確認されていないと説明した［9］。
マークスは、自社のオンラインストアで10月13日11時に「クロネコ代金後払いサービス」の利用を再開した［10］。パナソニック ホームズは10月21日、ヤマト運輸から届いた利用者向けの文書〔注2〕を自社の告知に掲載した［7］。
未公表の事項
- 不正アクセスの経緯と原因、侵入の経路（ヤマト運輸はITmedia NEWSの取材に、経緯や原因は確認のうえ改めて回答すると答えた［11］）
- 不正アクセスを受けた期間と、情報が持ち出された時期
- 重複を除いた対象者の人数
- 攻撃者と、犯行声明・金銭の要求の有無
- 対象者への個別の連絡を始めた日
注
出典
当事者
- ［1］ヤマト運輸株式会社『「クロネコ代金後払いサービス」への不正アクセスの発生について』（2026年9月29日公開、PDF）
- ［2］ヤマト運輸株式会社『【第2報】「クロネコ代金後払いサービス」への不正アクセスの発生について』（2026年10月2日公開、PDF）
- ［3］ヤマト運輸株式会社『【第3報】「クロネコ代金後払いサービス」再開のお知らせ』（2026年10月9日公開、PDF）
- ［4］ヤマト運輸株式会社『【第4報】「クロネコ代金後払いサービス」への不正アクセスに関する調査結果と今後の対応について』（2026年10月16日公開）
- ［5］ヤマト運輸株式会社『「クロネコ代金後払いサービス」緊急停止の加盟店向け通知』（2026年9月29日公開、重久本舗掲載の写し）
- ［6］ヤマト運輸株式会社『「クロネコ代金後払いサービス」への不正アクセスに関するご報告とお詫び』（2026年10月21日公開、PDF、パナソニック ホームズ株式会社掲載の写し）
関係組織
- ［7］パナソニック ホームズ株式会社『「クロネコ代金後払いサービス」への不正アクセスに関するお詫びとお知らせ』（2026年10月21日公開、PDF）
- ［8］株式会社アエナ『公式アプリにおける「代金後払い決済」緊急停止に伴うお詫びとお知らせ』（2026年10月1日公開）
- ［9］株式会社アエナ『【続報】「代金後払い決済」に関するお知らせ ― アエナを装った不審な連絡にご注意ください』（2026年10月5日公開）
- ［10］株式会社マークス『【重要】クロネコ代金後払いサービス再開のお知らせ』（2026年10月13日公開）
報道機関
- ［11］アイティメディア株式会社『ヤマト運輸「クロネコ代金後払い」、不正アクセスでサービス停止、宅急便などは通常通り』（2026年9月29日公開）
- ［12］株式会社インプレス『ヤマト運輸、「クロネコ代金後払いサービス」へ不正アクセスが発生と発表。サービスを停止』（2026年10月2日公開）
更新記録
- 2026年10月4日：公開した。
- 2026年10月5日：株式会社アエナの10月5日の続報（出典9）を加え、「対応と現状」を改めた。
- 2026年10月9日：ヤマト運輸の第3報（出典3）を加え、「時系列」と「対応と現状」を改めた。
- 2026年10月13日：株式会社マークスの10月13日の告知（出典10）を加え、「対応と現状」を改めた。
- 2026年10月16日：ヤマト運輸の第4報（出典4）を加え、リードと「時系列」「影響範囲」「対応と現状」「未公表の事項」を改めた。
- 2026年10月21日：ヤマト運輸の利用者向けの文書（出典6）とパナソニック ホームズ株式会社の告知（出典7）を加え、「対応と現状」と「注」を改めた。