ヤマト運輸は2026年10月16日、「クロネコ代金後払いサービス」への不正アクセスによって、約531万件の顧客関連情報が外部に持ち出されたことを発表しました。
対象となったのは、後払いサービスを利用した人の氏名・住所・電話番号などに加え、購入した商品の名前・数量・単価などが分かる商品明細です。2018年10月からの取引情報が含まれており、過去に利用した人も対象になる可能性があります。
一方、クレジットカード情報やパスワードは流出対象外で、現時点では情報の不正利用による二次被害も確認されていません。
気になるのは、自分の情報も対象になっているのか、普通の宅急便を利用しただけでも影響があるのか、そして購入した商品の情報が第三者にどのように悪用される可能性があるのかという点です。
この記事では、情報流出の件数と対象者、漏れた情報の詳細、購入履歴が悪用されるリスク、サービス再開や支払期限への影響を整理します。
クロネコ代金後払いの情報漏えいで分かっていること
今回の不正アクセスが確認されたのは2026年9月28日です。ヤマト運輸は翌29日に問題を公表し、外部の専門機関とともに詳しい影響範囲を調査していました。
その後、10月16日の第4報で、クロネコ代金後払いサービスに関わる一部の情報が第三者に不正に持ち出されたことを確認しています。
つまり、情報流出の可能性があるという段階ではなく、実際にデータが持ち出されたことが判明した事件です。
| 項目 | 2026年10月17日時点の状況 |
|---|---|
| 対象サービス | クロネコ代金後払いサービス |
| 運営会社 | ヤマト運輸株式会社 |
| 不正アクセス確認 | 2026年9月28日 |
| 第1報 | 9月29日 |
| サービス再開 | 10月9日13時 |
| 流出確認の公表 | 10月16日（第4報） |
| 購入者情報 | 約526万件 |
| お届け先情報 | 約5万件 |
| 加盟店情報 | 約4,100件（別枠） |
| クレジットカード・パスワード | 対象外 |
| 情報の不正利用 | 現時点で二次被害は確認されていない |
今回の約531万件という数字は、約526万件の購入者情報と約5万件のお届け先情報を合わせたものです。加盟店に関する約4,100件の情報は別に公表されています。
また、約531万件は情報の件数であり、531万人分の個人情報が流出したという意味ではありません。同じ人が複数回利用した取引などが含まれる可能性があるため、実際に何人の情報が対象となったのかは明らかになっていません。
クロネコ代金後払いとは？普通の宅急便との違い
クロネコ代金後払いサービスは、通販サイトなどで商品を購入した際、商品を先に受け取り、後日送られてくる払込票などを使って代金を支払う決済サービスです。
支払い方法としては、コンビニや郵便局で払込票を使う方式のほか、スマートフォンに届くメール・SMSから支払い手続きを行う方式があります。
通販サイトで商品を注文する際に「クロネコ代金後払い」を選択すると利用できる仕組みで、通常の宅急便配送とは別のサービスです。
そのため、ヤマト運輸で荷物を受け取ったことがある人すべてが、今回の情報漏えいの対象になったわけではありません。
また、「クロネコメンバーズ」に登録しているという理由だけで、今回の情報漏えいの対象になるわけでもありません。
今回持ち出されたのは、クロネコ代金後払いサービスの一部の利用者と、そのお届け先、加盟店に関する情報です。
なお、後払いで商品を購入した本人と、商品を受け取った人が異なる場合もあるため、お届け先として情報が含まれている可能性には注意が必要です。
526万件と531万件の違い｜対象は2018年以降の利用者
ヤマト運輸の第4報では、持ち出された情報を購入者・お届け先・加盟店の3つに分けて公表しています。
それぞれで対象となる期間と情報の内容が異なります。
購入者情報については、約8年間にわたる取引が対象です。したがって、現在は後払いサービスを利用していなくても、過去に利用したことがある人は対象になる可能性があります。
一方、2018年10月以降にクロネコ代金後払いを利用したすべての人の情報が流出したという意味ではありません。ヤマト運輸はあくまで「一部のお客さま」の情報が持ち出されたと説明しています。
また、すでにサービスを利用しなくなった人や、過去に登録情報を変更した人がどの程度含まれているのかも明らかになっていません。
流出した情報は？商品名・数量・単価まで対象
今回の情報漏えいで特に注目したいのが、購入した商品の明細まで持ち出されている点です。
氏名や住所、電話番号といった個人情報だけでなく、どのような商品を購入したのかを第三者に知られた可能性があります。
ヤマト運輸が公表した情報は以下のとおりです。
- 購入者情報（約526万件）：氏名、住所、電話番号、メールアドレス、商品名、数量、単価、申込番号、受注日、与信番号など
- お届け先情報（約5万件）：お届け先の氏名、住所、電話番号、送り状番号
- 加盟店情報（約4,100件）：加盟店名、加盟店コード
購入者情報約526万件のうち、メールアドレスが含まれているのは約49万件です。約526万件すべてにメールアドレスが含まれているわけではありません。
また、社内管理用情報として公表された「与信番号」は、後払い決済の審査や取引管理などで使われる番号に関する情報です。これが漏えいしたからといって、個人の信用スコアや借入金額が流出したという意味ではありません。
今回の第4報では、どのような商品がどれだけ含まれていたのか、具体的な商品名や販売店ごとの内訳までは公表されていません。
購入した商品の情報は何に悪用される可能性があるのか？
今回の情報漏えいでは、氏名や住所などの個人情報と一緒に、購入した商品の情報も持ち出されています。
では、こうした情報を第三者が入手した場合、どのような目的で悪用される可能性があるのでしょうか。
現時点で攻撃者の目的や実際の悪用は確認されていませんが、一般的な情報悪用の手口を踏まえると、いくつかのリスクが考えられます。
① 実際の購入内容を利用した偽の請求
購入した商品名や取引時期などが分かれば、実際に注文した商品について連絡しているように見せることが可能です。
例えば、ヤマト運輸や購入先の通販サイトを名乗り、過去の注文に関する支払い確認や配送トラブルなどを口実に、別のWebサイトへ誘導する手口が考えられます。
購入した覚えのある商品について具体的に説明されると、利用者が正規の連絡だと誤解する危険性があります。
ただし、今回持ち出された情報によって実際にこのような詐欺が行われた事実は、現時点では確認されていません。
② 購入商品の種類から興味や生活習慣を推測する
商品名・数量・単価などの情報があれば、購入者がどのような商品に関心を持っているのか、どの程度の価格帯の商品を購入しているのかを推測できる可能性があります。
特に、健康や美容、趣味、日常生活に関係する商品などは、購入内容そのものが本人の私生活に関する情報につながる場合があります。
ただし、商品の購入は必ずしも本人の使用を意味しません。贈答用や家族のために購入していることもあるため、商品名だけで購入者の属性や生活状況を正確に判断できるわけではありません。
③ 購入傾向に合わせた不審な勧誘
商品情報が複数の取引にわたって存在する場合、特定の種類の商品を繰り返し購入している人や、一定の価格帯の商品を購入している人などを分類する材料になり得ます。
こうした情報が、購入傾向に合わせた不審な勧誘や詐欺に利用される可能性も考えられます。
ただし、今回の約526万件の情報がどの程度個人単位で結び付けられる状態だったのか、攻撃者が実際に分析や分類を行ったのかについては明らかになっていません。
④ 氏名・住所・電話番号を組み合わせたなりすまし
購入情報と個人情報を組み合わせることで、本人の取引を詳しく把握しているように見せかけた電話や郵便物を送ることも考えられます。
例えば、実際に購入した商品について話しながら、本人確認などを理由に追加の個人情報を求めるような手口です。
単に氏名や電話番号だけが漏えいした場合と比べ、取引内容まで知られていることで、受け取った人が相手を信用してしまう可能性があります。
これらは持ち出された情報の内容から考えられる一般的な悪用リスクです。今回の攻撃者が実際にこうした目的で情報を持ち出したと確認されたわけではありません。
一方、ヤマト運輸は今回の不正アクセスに関する調査中、「不審なメールやSMSが届いた」「不審な電話がかかってきた」といった問い合わせが寄せられていることを公表しています。
これらの連絡が今回の情報流出によって発生したものかどうかは確認されていませんが、利用者は今後も注意が必要です。
請求金額と債権残高も流出した？第2報との違い
今回の情報漏えいについて、10月2日に公表された第2報と10月16日の第4報では、対象となる情報に違いがあります。
第2報の段階では、請求金額や債権残高、ヤマト運輸の担当社員の氏名なども漏えいした可能性があると説明されていました。
しかし、専門機関による調査が進んだ結果、第4報では「請求金額」「債権残高」「当社社員の氏名」について、不正な持ち出しは確認されなかったと明記されています。
したがって、今回の事件によって未払いの金額や借入残高まで知られたと説明するのは正確ではありません。
ただし、商品名や単価、数量が持ち出されているため、対象となった商品の購入価格などを推測できる可能性はあります。
商品明細が流出したことと、請求金額や債権残高が流出したことは区別して考える必要があります。
クレジットカード情報やパスワードは対象外
ヤマト運輸は10月16日の第4報で、クレジットカード情報とパスワード情報は、今回持ち出されたデータに含まれていないと説明しています。
そのため、今回の不正アクセスによってクレジットカード番号やログインパスワードが流出したという情報は、公式発表の内容とは異なります。
また、通常の宅急便配送やクロネコメンバーズの会員情報全体が今回の対象になったという発表でもありません。
ただし、クレジットカード情報が対象外であっても、今回持ち出された氏名や連絡先、商品明細などが悪用される可能性には注意が必要です。
例えば、配送や後払いに関する案内を装って偽サイトへ誘導し、クレジットカード番号やパスワードを新たに入力させるような手口も考えられます。
支払い確認や配送通知などの連絡を受けた場合は、送信元だけで判断せず、公式サイトに掲載されている窓口や購入先の通販サイトから内容を確認してください。
代金後払いは10月9日に再開｜支払期限は17日延長
今回の不正アクセスを受けて、クロネコ代金後払いサービスは2026年9月28日に停止されました。
その後、ヤマト運輸は安全に利用できる環境が整ったとして、10月9日13時にサービスを再開しています。
つまり、10月16日に約531万件の情報流出が公表された時点では、すでにサービス自体は再開していました。
また、サービス停止期間中の影響を考慮し、2026年9月28日以降に支払期限を迎える払込票については、支払期限を17日間延長する対応が発表されています。
例えば、払込票に記載された支払期限が2026年10月1日だった場合、延長後の期限は10月18日になります。
ただし、支払期限が延長されたことは、商品代金を支払わなくてもよくなったという意味ではありません。
該当する払込票を持っている人は、延長後の期限内に支払いを行う必要があります。
なお、ここで説明した延長措置は、今回の不正アクセスに伴うサービス停止への対応です。通常の支払いルールが恒久的に変更されたわけではありません。
自分が情報漏えいの対象か確認するには？
ヤマト運輸は、情報が不正に持ち出されたと確認された対象者に対して、順次個別に連絡するとしています。
ただし、登録情報の変更などによって個別に連絡することが難しい場合は、10月16日の第4報をもって通知に代える方針です。
そのため、ヤマト運輸から個別の通知が届いていないからといって、必ずしも情報漏えいの対象外とは限りません。
確認の際は、2018年10月以降に通販サイトなどでクロネコ代金後払いを利用したことがあるか、過去の注文履歴や払込票を確認すると参考になります。
ただし、利用歴があることだけで今回の漏えい対象だと断定することはできません。
また、商品を購入した本人とは別に、お届け先として氏名や住所が登録されていた人も対象となっている可能性があります。
個別の対象確認について不明な点がある場合は、ヤマト運輸が公表している専用問い合わせ窓口を利用してください。
不審な請求やSMSへの注意点｜ヤマト運輸を装う詐欺にも警戒
今回の情報漏えいでは、購入商品や連絡先などが持ち出されたため、ヤマト運輸や通販サイトを装った不審な連絡には注意が必要です。
ヤマト運輸は、今回の情報流出による二次被害は確認されていないとしながらも、不審なメールやSMS、電話などに関する問い合わせが寄せられていることを公表しています。
今回の事件との関係は確認されていませんが、情報漏えいに便乗した詐欺にも警戒する必要があります。
- 心当たりのないメールやSMSに記載されたURLを開かない
- 不審な添付ファイルを開かない
- 身に覚えのない請求が届いた場合は、すぐに支払わず公式窓口へ確認する
- 電話でパスワードやクレジットカード番号を求められても安易に伝えない
- 過去の注文内容を知っている相手でも、それだけで正規の連絡だと判断しない
特に今回注意したいのは、実際に購入した商品の名前を相手が知っている可能性があることです。
購入した商品や取引時期を具体的に説明されたとしても、それだけで相手がヤマト運輸や正規の通販サイトの担当者であると確認できるわけではありません。
ヤマト運輸は以前から、同社を装った迷惑メールや偽サイトについて注意を呼びかけています。不審な連絡を受けた際は、ヤマト運輸の公式注意喚起などを確認してください。
不正アクセスの原因と問い合わせ窓口・今後の対応
今回の不正アクセスについて、ヤマト運輸は2026年9月28日に問題を確認した後、外部からのアクセスを制限するなどの対策を実施しました。
その後、外部のセキュリティ専門機関とともに調査を進め、10月16日の第4報で情報の不正な持ち出しを確認しています。
ただし、攻撃者がどのような方法でシステムに侵入したのか、不正アクセスがいつから行われていたのかなど、詳しい原因は現時点で明らかになっていません。
ヤマト運輸は今後も外部専門機関の助言を受けながら、中長期的な対策を含めて情報セキュリティ体制を強化するとしています。
今回の情報漏えいに関する問い合わせ先は以下のとおりです。
加盟店向け電話窓口の受付時間も9時〜18時で、土日祝日を除きます。
今回の情報流出は、購入者の氏名や住所などに加え、商品名・数量・単価といった購入内容まで第三者に持ち出された点が特徴です。クレジットカード情報やパスワードは対象外ですが、購入情報と個人情報を組み合わせたなりすましなどのリスクには注意が必要です。
一方、10月17日時点では、実際の情報悪用による二次被害は確認されていません。利用者は個別通知や公式発表を確認し、不審な請求や連絡を受けた場合は、相手の案内をそのまま信用せず正規の窓口へ確認してください。
なお、2026年9月末から10月にかけて公表されたほかの不正アクセスや情報漏えいについては、関連記事「2026年9月末～10月の情報漏えいまとめ」でも整理しています。
主な参考資料と確認日
情報確認日：2026年10月17日。ヤマト運輸の2026年9月29日付第1報、10月2日付第2報、10月9日付第3報、10月16日付第4報を確認しています。流出した情報の件数や項目は第4報の調査結果を優先しています。攻撃者の目的や実際の情報悪用については現時点で確認されておらず、記事中の悪用リスクは流出情報の内容に基づく考察です。
コメント