ヤマト運輸「クロネコ代金後払いサービス」不正アクセスの調査結果｜約526万件の情報が持ち出し——EC運営者にとっての意味と今やるべきこと

ヤマト運輸株式会社（以下、ヤマト運輸）は2026年10月16日、通販向けの決済サービス「クロネコ代金後払いサービス」への不正アクセスについて、調査結果と今後の対応（第4報）を公表しました。購入者の情報が約526万件、お届け先の情報が約5万件、加盟店の情報が約4,100件、不正に持ち出されたとしています。クレジットカード情報とパスワードは含まれていません。サービスは10月9日に再開しています。

発表の事実

ヤマト運輸の第4報によると、2026年9月28日に不正アクセスを確認したあと、外部からのアクセスを制限するなどの対策をとり、セキュリティの専門機関と調査を進めた結果、一部の情報が不正に持ち出されたことが分かったとしています。経緯は、第1報（9月29日）で発生を公表、第2報（10月2日）で続報、第3報（10月9日）でサービスの再開を案内、という流れです。停止の時点の内容は、EC参謀の10月2日の速報で取り上げています。

• 含まれない情報：クレジットカード情報、パスワード情報。第2報で触れていた「請求金額」「債権残高」「社員の氏名」は、調査の結果、持ち出しは確認されなかったとしています。
• 対象者への連絡：持ち出しが分かった対象者には順次個別に連絡し、登録情報の変更などで連絡が難しい人には、この公表をもって通知に代えるとしています。
• 二次被害：公表時点で、持ち出された情報の不正利用による二次被害は確認されていないとしています。一方で、心当たりのない不審なメール・SMSや不審な電話についての問い合わせが寄せられているとして、URLや添付ファイルを開かずに削除するよう呼びかけています。
• 今後の対応：実施済みの対策に加え、外部の専門機関の助言のもとで中長期的な対策を進めるとしています。侵入の経路や原因の詳しい説明は、第4報には記載されていません。

EC運営者にとっての意味

今回の発表で店舗にとって重いのは、お客さまの連絡先だけでなく「何を買ったか」（商品明細）まで含まれている点だとみられます。商品名や受注日が分かっていると、店名や商品名を出した、本物らしく見える不審メールや電話が作られやすくなります。対象のうちメールアドレスを含むものは約49万件とされており、電話番号や住所を使った連絡にも注意が必要になりそうです。

加盟店情報として持ち出されたのは、加盟店名と加盟店コードと説明されています。店舗の口座情報や請求金額は持ち出しが確認されなかったとしているため、店のお金の流れに直接かかわる情報は対象に入っていないと読めます。ただし、加盟店向けの個別の対応依頼は第4報には書かれていないため、契約している店舗は、ヤマト運輸からの個別の案内が届いていないかを確認しておくと安心です。

8月のショップサーブ、10月の佐川急便のWebサービスに続き、ECの周辺サービスでの不正アクセスの公表が続いています（それぞれ別の事案です）。店が自分で防げる範囲は限られますが、お客さまへの説明と、店を名乗る不審な連絡への備えは、どの事案でも店側で準備できる部分だと考えています。

今やるべきこと

• 問い合わせへの答え方を決める……「自分の情報は含まれているか」と聞かれたときは、ヤマト運輸から順次個別に連絡があること、問い合わせ窓口があることを案内します。店で対象かどうかを判断しないのが現実的です。
• 店名を使った不審な連絡への案内を用意する……店がメールやSMSでカード情報や支払いのやり直しをお願いすることがない場合は、その旨をサイトのお知らせやよくある質問に書いておくと、お客さまが判断しやすくなります。
• 後払いの表示と案内文を確認する……停止中に決済手段から外していた店舗は、再開後の表示に戻すかどうかを決め、カートの支払い方法の画面と案内文を実際に確認します。
• ヤマト運輸からの個別の案内を確認する……加盟店あての連絡が来ていないかを確認し、社内の担当者に共有します。

問い合わせ窓口や最新の対応は、必ずヤマト運輸の公式のお知らせでご確認ください。

出典

• ヤマトホールディングス「【第4報】「クロネコ代金後払いサービス」への不正アクセスに関する調査結果と今後の対応について」（2026年10月16日）
• ネットショップ担当者フォーラム「ヤマト運輸「クロネコ代金後払いサービス」への不正アクセス、顧客情報約526万件が流出」（2026年10月19日）

※本記事は2026年10月19日時点の公表情報をもとにしています。最新の情報は公式のお知らせでご確認ください。