宅配大手の佐川急便は2026年10月1日、荷物の配達状況を確認する「お荷物問い合わせサービス」が不正アクセスを受け、荷物の送り主と配達先の氏名や住所、電話番号などの個人情報が外部に漏えいした可能性があると発表した。不正アクセスは9月30日に検知され、過去約100日分の荷物の送り主・届け先の情報に加え、運賃契約顧客やスマートクラブ会員の情報も対象となる可能性がある。

クレジットカード情報やパスワードは含まれていないとしているが、氏名・住所・電話番号といった配送データは、フィッシング詐欺などの二次被害に悪用される懸念がある。同社は被害拡大を防ぐため、荷物追跡など複数のウェブサービスを停止して調査を続けている。

今回の事案は、2026年秋に相次いだ大企業の情報漏えいラッシュの一環として注目されている。9月末にはタイムズカー（パーク24）で最大約660万件の会員情報漏えい、デジタル庁のガバメントソリューションサービスで約24万6000件の個人情報流出の可能性、ヤマト運輸の「クロネコ代金後払いサービス」への不正アクセス検知などが相次いで公表され、日本原子力研究開発機構でも研究者175人分の個人情報流出が明らかになっていた。

専門家は「短期間で異様なペース」と指摘しており、物流インフラや研究機関といった社会基盤を支える組織のWebサービスが攻撃の入り口となるケースが増えている。佐川急便の件についても、不正アクセスの具体的な手法や流出した情報の行方は明らかになっておらず、今後の調査結果次第で論点が変わる可能性がある。

同社は流出範囲の確定と利用者への個別通知を進めるとしているが、配送データのような日常的な個人情報の漏えいは、被害が時間差で現れるだけに、利用者の不安は長期化するとみられる。

物流インフラを担う企業のWebサービスが攻撃の入り口となるケースが増えており、認証システムの強化やデータ保持期間の見直しなど、管理体制の抜本的な再構築が求められている。個人情報保護委員会への報告や利用者への通知の進捗も焦点だ。