佐川急便の不正アクセス第5報、流出の可能性は最大約5,323万件｜出荷している店舗が確認したいこと
佐川急便株式会社（以下、佐川急便）は2026年10月23日、Webサイトの「お荷物問い合わせサービス」への不正アクセスについて第5報を公表しました。流出した可能性のある個人情報は、重複を含めて現時点で最大約5,323万件とされ、停止していた「お荷物問い合わせ」は同日に再開しています。個人情報保護委員会への確報は、佐川急便と出荷人（配送を委託している事業者）の連名で出す方向とされており、佐川急便で出荷しているネットショップにも関わる内容です。
⏱ 忙しい人向け 3行まとめ
- 事実：流出の可能性がある個人情報は最大約5,323万件（重複を含む・実人数ではない）。対象は2026年6月21日〜9月30日に預かった荷物の送り状データなど。クレジットカード情報とパスワードは含まれないとされています。
- 意味：個人情報保護委員会への確報は出荷人との連名で準備中とされ、連名に同意しない出荷人は自ら報告が必要になる場合があるとされています。お荷物問い合わせAPIや受取先変更は引き続き停止中です。
- アクション：佐川急便からの案内が届く窓口（担当者・メール）を確かめ、連名の報告にどう対応するかを社内で決めておく。お客さまへの案内文と、不審なSMSへの注意の呼びかけも見直しておく。
これまでの経緯
9月30日の第1報から10月1日の第2報・第3報までの内容と、停止したサービスの一覧は10月2日の速報で整理しています。この記事では第5報で新しく分かったことを中心にまとめます。
発表の事実
第5報（2026年10月23日）で新たに示されたのは、流出の可能性がある件数の最大値、サービスの一部再開、個人情報保護委員会への報告の進め方の3点です。内容は発表元の記載に沿って整理します。
- 件数……流出した可能性のある個人情報は「現時点で最大約5,323万件（重複を含む件数）」。重複した情報を一定程度整理したうえでの最大件数で、送り状データには相当数の重複が残っているため、対象となる方の実人数を示すものではないとされています。
- 対象の情報①送り状データ……2026年6月21日から9月30日までの間（約100日間）に預かった荷物の、ご依頼主さま・お届け先さまの氏名、住所、電話番号。手書きの送り状で預かった荷物は対象に含まれないとされています。
- 対象の情報②③……運賃契約を結んでいる顧客の契約者情報（氏名、住所、電話番号）と、「スマートクラブ」登録者の会員情報（氏名、住所、電話番号、メールアドレス、会員ID）。区分ごとの件数は公表していないとしています。
- 含まれない情報……クレジットカード情報とパスワード。現時点で二次被害は確認されていないとされています。
- 再開したサービス……2026年10月23日（金）に「インターネット貨物のお荷物問い合わせ」を再開。
- 停止中のサービス……お荷物問い合わせAPI、飛脚宅配便受付、飛脚往復便受付、飛脚往復便（ゴルフ）受付、商品回収返金サービス、受取先変更（2種類）、回収くん。再開が決まり次第、Webサイトで知らせるとしています。
- お客さまへの案内……対象となる可能性のあるお客さまへ順次案内し、個別の案内が難しい場合は公表をもって通知に代えるとしています。
個人情報保護委員会への報告については、次のように書かれています。
| 項目 | 第5報の記載（要約） |
|---|---|
| 速報 | 2026年10月1日に佐川急便が報告済み |
| 確報 | 佐川急便が取りまとめ、出荷人さまとの連名で報告する方向で準備中 |
| 連名に同意しない場合 | 出荷人さまご自身による報告（速報・確報）が必要となる場合がある |
| すでに個別に報告した場合 | 連名での報告への切り替えを相談できる |
| 今後の案内 | 対象の出荷人さまには、件数など必要な事項が確認でき次第、手続きの詳細を案内する |
EC運営者にとっての意味
ここからはEC参謀としての解釈です。第5報で店舗にとって大きいのは、件数よりも「確報を連名で出す」という進め方が示された点だとみています。
①出荷人として案内を受け取る準備が要る。ネットショップが佐川急便で発送している場合、店舗は「出荷人」にあたると考えられます。手続きの詳細は対象の出荷人に順次案内するとされているため、佐川急便の契約の連絡先が、今も見ている担当者やメールアドレスになっているかを確かめておくと、案内を見落としにくくなります。
②連名にするかどうかを決めておく。連名に同意しない場合は、店舗自身での報告が必要になる場合があるとされています。どちらを選ぶかは、自社の個人情報の取り扱いの方針や、すでに報告しているかどうかで変わります。判断に迷う場合は、佐川急便からの案内と個人情報保護委員会の公表情報を確かめたうえで、専門家に相談するのが現実的です。
③お客さまからの問い合わせは続く可能性がある。件数が大きく報じられたことで、「自分の情報は大丈夫か」という問い合わせが改めて増えることも考えられます。店舗側では、自店のお客さまが対象かどうかを判断できません。佐川急便の公表内容と専用窓口（専用コールセンター 0120-28-3449、午前9時〜午後5時、土日・祝日を含む）を案内する答え方にしておくのが無難です。
④自動連携は引き続き止まっている。お荷物問い合わせ自体は再開しましたが、お荷物問い合わせAPIは停止中です。受注管理システムやカートで配送状況を自動で取り込んでいる店舗では、ステータスの自動更新がまだ戻っていない可能性があります。お客さまが追跡番号で状況を見られるようになった点は、問い合わせの負担を減らす材料になりそうです。
⚠️ 本記事の位置づけ
本記事は2026年10月26日朝時点の公表内容に基づく速報解説です。件数は名寄せ（重複の整理）を続けている途中の最大値で、今後の調査で変わる可能性があります。個人情報保護委員会への報告が必要かどうか、連名にするかどうかは、佐川急便からの個別の案内と個人情報保護委員会の公表情報を確認し、必要に応じて専門家にご相談ください。特定の事業者を非難する意図はありません。
今やるべきこと
佐川急便で出荷している店舗は、次の4つを確かめておくと、案内が届いたときに慌てずに済みます。
- 連絡先の確認……佐川急便との契約の連絡先（担当者・メールアドレス・電話番号）が今も使われているかを確かめる。
- 報告の方針を決める……個人情報保護委員会への確報を連名にするか、自社で報告するかを、担当者と責任者で話し合っておく。すでに自社で速報を出している場合は、連名への切り替えを相談できるとされています。
- お客さま向けの案内を見直す……問い合わせへの答え方に、第5報の件数の意味（重複を含む・実人数ではない）と専用窓口を加える。佐川急便をかたる不審なメール・SMS・電話への注意も、発送メールやお知らせ欄で続けて呼びかける。
- 停止中のサービスの代わりの手順……お荷物問い合わせAPI・受取先変更・商品回収（回収くんなど）を使う業務は、再開まで今の代わりの手順を続ける。再開の告知を確認する担当を決めておく。
委託先で情報漏えいが起きたときの全体の備え方はECサイトのセキュリティ対策ガイドに、国内で公表された事例と教訓はECの情報漏えい 公表事例台帳にまとめています。
出典
- 佐川急便株式会社「「お荷物問い合わせサービス」の再開および個人情報の流出に関する調査状況について（第5報）」（2026年10月23日）
- 佐川急便株式会社「「お荷物問い合わせサービス」への不正アクセスによる個人情報流出の可能性について（第4報）」（2026年10月9日）
※本記事は2026年10月26日時点の公表情報をもとにしています。最新の情報は公式のお知らせでご確認ください。