クロネコ代金後払いに不正アクセス、約526万件の情報持ち出し

何が起きたのか

ヤマト運輸は2026年10月16日、「クロネコ代金後払いサービス」への不正アクセスについて調査結果（第4報）を公表しました。

発表の流れは次のとおりです。

• 9月28日：第三者による不正アクセスを確認。外部からのアクセスを制限してサービスを止め、個人情報保護委員会に報告した
• 9月29日：第1報
• 10月2日：第2報。請求金額、債権残高、ヤマト運輸の社員の氏名が、漏えいの可能性がある情報として挙がっていた
• 10月9日：第3報。13時にサービスを再開した。サービス停止の間を考えて、2026年9月28日以降に支払い期限を迎える払込票は、期限を17日間延ばした
• 10月16日：第4報。セキュリティ専門機関の調査で、一部の情報が不正に持ち出されたと分かった

第2報で挙がっていた請求金額、債権残高、社員の氏名は、第4報では不正な持ち出しが確認されなかったとしています。第4報で初めて、持ち出された情報の対象と件数が示されました。

不正アクセスの原因や手口はお知らせに書かれていません。持ち出された情報の不正利用による二次被害は確認されていないとしています。

漏れた情報

持ち出された情報は3種類です。

• 利用者 約526万件（2018年10月1日から2026年9月28日まで）：氏名、住所、電話番号、メールアドレス、商品明細（商品名、数量、単価など）、社内管理用の情報（申込番号、受注日、与信番号など）。メールアドレスを含むのは約49万件
• お届け先 約5万件（2021年2月5日から2026年9月28日まで）：氏名、住所、電話番号、送り状番号
• 加盟店 約4,100件（2018年10月1日から2026年9月28日まで）：加盟店名、加盟店コードなどの社内管理用の情報

クレジットカード情報とパスワードは含まれません。「クロネコメンバーズ」「ヤマトビジネスメンバーズ」など他のサービスの情報も、不正な持ち出しは確認されていません。

後払いは、商品を受け取ったあとに払う仕組みで、通販の加盟店がヤマト運輸に支払いの手続きを任せています。この件で情報の持ち主は、後払いを使って買い物をした消費者と、後払いを導入した通販の事業者です。

会社の対応

対象者には順次個別に連絡し、連絡が難しい場合はこのお知らせを通知に代えるとしています。外部の専門機関の助言を受けて、中長期の対策を進めて、情報セキュリティの体制を強めます。

利用者には、差出人や件名に心当たりのないメールやSMSのURLや添付ファイルを開かず、すぐに削除するよう呼びかけています。不審な電話や郵便物にも慎重に対応するよう求めています。ヤマト運輸の名前を装った迷惑メールが多発しているとして、なりすましサイトへの誘導にも注意を促しています。

この件の問い合わせはメールで受け付けています。第3報には、加盟店向けの電話窓口と、利用者向けのフォームや電話の窓口も書かれていました。

中小企業が学べること

商品明細が漏れると、買った物の名前を書いた本物らしい偽の連絡が作られやすくなります。通販を営む会社は、次のことを確かめます。

• 後払いや配送の委託先に、どの項目を渡しているか。事故のお知らせが来たときに、自社の顧客が対象かを調べる手順（誰が、どの名簿と突き合わせるか）を決めておく
• 顧客向けの案内に、自社が連絡するときの方法（差出人のアドレス、電話番号、メールで聞かない項目）を載せておく。メールの偽装を防ぐ設定は自社の名前で偽メールを送らせない DMARCの始め方にあります
• 何年も前の取引データを預けたままにしていないか、保管の期間を見直す。この件の利用者の情報は、2018年10月分から含まれています