ヤマト運輸は10月16日、9月に第三者の不正アクセスを受けた通販の後払い決済「クロネコ代金後払いサービス」について、調査結果を公表した。2018年10月1日から2026年9月28日までにサービスを利用した一部の客の氏名、住所、電話番号、メールアドレス、商品明細などが約526万件、不正に持ち出されていた。クレジットカード情報とパスワードは含まれていない。同社は、持ち出された情報が悪用された二次被害は「現時点で確認されておりません」としている。

持ち出しは3種類、最多は利用者情報の約526万件

親会社のヤマトホールディングスが「重要なお知らせ」に掲載した第4報によると、不正アクセスを確認した後、セキュリティ専門機関の協力を得て調べた結果、サービスに関わる情報の一部が持ち出されていたことが分かった。

持ち出された情報は3種類ある。最も多いのはサービスを利用した一部の客の情報で、氏名、住所、電話番号、メールアドレス、商品明細（商品名、数量、単価など）、社内管理用の情報（申込番号、受注日、与信番号など）が約526万件。このうちメールアドレスを含むものは約49万件だった。対象期間は2018年10月1日から2026年9月28日までで、約8年分にあたる。

2つ目は、利用者が商品の届け先に指定した相手の情報で、届け先の氏名、住所、電話番号、送り状番号が約5万件。対象期間は2021年2月5日からとなっている。3つ目はサービスに加盟する通販事業者（加盟店）の情報で、加盟店名と加盟店コードが約4100件だった。

情報の種類 主な項目 対象期間 件数
利用者の情報 氏名、住所、電話番号、メールアドレス、商品明細、申込番号など 2018年10月1日〜2026年9月28日 約526万件（うちメールアドレスを含むもの約49万件）
届け先の情報 届け先の氏名、住所、電話番号、送り状番号 2021年2月5日〜2026年9月28日 約5万件
加盟店の情報 加盟店名、加盟店コード 2018年10月1日〜2026年9月28日 約4100件
「クロネコ代金後払いサービス」から不正に持ち出された情報

出典: ヤマトホールディングス「【第4報】『クロネコ代金後払いサービス』への不正アクセスに関する調査結果と今後の対応について」（2026年10月16日）

第4報は件数で示しており、何人分にあたるかは記していない。

商品明細が含まれている点も特徴だ。名前や住所に加え、いつ何をいくつ買ったかという購買の記録が、申込番号や受注日と結びついた形で持ち出されたことになる。

第2報の「請求金額」「債権残高」は持ち出し確認されず

持ち出された情報の範囲は、調査の進展とともに書き換えられてきた。10月2日の第2報は「漏えいした可能性がある主な情報」として、利用者の氏名、住所、電話番号、メールアドレス、与信番号、請求金額、債権残高、商品明細を挙げていた。加盟店名と加盟店コード、サービスを担当する同社社員の氏名も対象になり得るとしていた。

第4報では、このうち「請求金額」「債権残高」と「当社社員の氏名」について、調査の結果、持ち出しは確認されなかったと説明した。利用者がいくら払うのか、まだいくら払っていないのかという支払いに直結する情報は、持ち出されていなかったことになる。

一方で、第2報には無かった項目も加わった。届け先の氏名、住所、電話番号、送り状番号の約5万件だ。後払いの利用者本人ではなく、贈り物の送り先など、サービスを直接使っていない人の情報も含まれている。

情報が持ち出された対象者には、順次個別に連絡するという。登録情報の変更などで個別の連絡が難しい人については、第4報の公表をもって通知に代えるとしている。

先に商品を受け取りコンビニで払う仕組み、確認当日の夜に停止

クロネコ代金後払いサービスは、通販サイトで注文した商品を先に受け取り、後日、払込票やスマートフォンに届く通知を使ってコンビニなどで代金を支払う仕組みだ。第2報がそう説明している。ヤマト運輸の側には利用者の氏名や住所、電話番号に加え、注文ごとの商品明細や申込番号、受注日、与信番号といった情報が記録されていた。第4報で持ち出しが判明したのは、こうした記録だ。

ヤマト運輸が不正アクセスを確認したのは9月28日（月）だった。翌29日の初報によると、同社は外部からのアクセスを制限するなどの対策を取り、同日午後10時28分にサービスを止めた。宅急便など他のサービスは通常どおり利用できるとしていた。

サービスは10月9日午後1時に再開した。停止は約10日半に及んだ。第3報は、停止期間を考慮し、9月28日以降に支払い期限を迎える払込票について、期限を17日間延ばすと案内した。例として、払込票に記載された期限が10月1日の場合は10月18日になるとしている。この時点では「情報漏えいの可能性および範囲」について、引き続き調査を進めていると説明していた。

個人情報保護委員会に報告、不審なメールへの注意呼びかけ

ヤマト運輸は個人情報保護委員会に報告したとしている。個人情報保護委によると、事業者は、不正の目的をもって行われたおそれがある行為による個人データの漏えいや、本人の数が1000人を超える漏えいなどがあった場合、委員会への報告が義務付けられている。発覚したらまず速やかに報告し、不正な目的で行われたおそれがある場合は発覚日から60日以内に報告するよう求めている。

漏えい報告の件数と、国が社名を公表してきた事案については、個人情報の漏えい報告、3年で4万8315件　勧告6件・命令1件、社名公表はトヨタ・ドコモなど一部で詳しく扱っている。

利用者に向けては、不審な連絡への注意を呼びかけている。第4報によると、同社には「差出人や件名に心当たりのない不審なメール・SMSが届いた」「不審な電話がかかってきた」という問い合わせが寄せられている。同社は、不審なメールやSMSを受け取った場合はURLを開いたり添付ファイルを開封したりせず、直ちに削除するよう求めた。不審な電話や郵便物にも慎重に対応するよう呼びかけている。持ち出された約526万件には住所と電話番号が含まれ、メールアドレスを含むものは約49万件にとどまる。同社がメールやSMSに加え、電話と郵便物にも注意を促しているのはこのためだ。

初報から第4報まで18日、侵入経路と再発防止策の中身は示さず

9月28日の確認から10月16日の第4報まで、ヤマト運輸は18日間に4回の発表を出した。9月29日の初報はサービス停止と調査開始、10月2日の第2報は漏えいした可能性がある情報の種類、10月9日の第3報はサービス再開と支払い期限の延長、10月16日の第4報は持ち出された情報の確定と件数だった。

発表日 区分 主な内容
9月29日 初報 9月28日に不正アクセスを確認、同日午後10時28分にサービス停止
10月2日 第2報 漏えいした可能性がある情報の種類（件数は示さず）
10月9日 第3報 午後1時にサービス再開、支払い期限を17日間延長
10月16日 第4報 持ち出された情報と件数を公表、対象者に順次連絡
「クロネコ代金後払いサービス」不正アクセスをめぐるヤマト運輸の発表

出典: ヤマトホールディングス「重要なお知らせ」（初報〜第4報）

一方、第4報は、第三者がどこから、どのような方法で侵入したのかには触れていない。いつから不正アクセスが続いていたのかも記していない。再発防止策については「すでに実施済みのセキュリティ対策に加え、外部専門機関の助言のもと、今後実施する中長期的な対策を通じて情報セキュリティ体制の強化を推進」するとしたが、具体的な対策の中身は示していない。

国と専門機関が企業に注意を促してきた経緯は、大規模漏えい相次ぎ、国と専門機関が3日で注意喚起　委託先の点検や不要データの消去を要求にまとめている。サイバー攻撃と情報漏えいの全体像は、サイバー攻撃と情報漏えいの全体像　ランサム被害は最多123件、入口はVPNと委託先で整理している。

ヤマト運輸は、本件に関する問い合わせをメールで受け付けている。後払いサービスの利用者向けと加盟店向けには、第3報で専用の問い合わせ窓口も案内している。