持ち出された約526万件の利用者情報には、氏名や住所だけでなく、買った商品の名前や数量まで含まれていました。ヤマト運輸が16日に公表した第4報は、「調査中」だった範囲を3つの区分で示し、第2報で挙げた項目の一部は持ち出されていなかったとしています。数字の中身と、届く連絡への向き合い方を整理します。
ヤマト運輸は2026年10月16日、「クロネコ代金後払いサービス」への不正アクセスに関する第4報を公表し、一部の情報が不正に持ち出されたことが判明したと発表した。持ち出されたのは、サービス利用者の情報約526万件（うちメールアドレスを含むもの約49万件）、お届け先情報約5万件、加盟店情報約4,100件である。対象期間はいずれも2026年9月28日までで、利用者情報と加盟店情報は2018年10月1日から、お届け先情報は2021年2月5日からである。
項目は氏名、住所、電話番号、メールアドレス、商品明細などで、クレジットカード情報とパスワードは含まれない。第2報で漏えいの可能性があるとした請求金額、債権残高、社員の氏名は、持ち出しが確認されなかった。
From: 
【第4報】「クロネコ代金後払いサービス」への不正アクセスに関する調査結果と今後の対応について
【編集部解説】
9月28日の不正アクセスの確認から18日。「調査中」とされてきた範囲と件数が、第4報で示されました。
まず、このサービスの仕組みを確認しておきます。クロネコ代金後払いサービスは、通販サイトで注文した商品を先に受け取り、払込票やスマートフォンに届く通知から、後日コンビニなどで代金を支払う決済サービスです。利用者は通販の買い物客、加盟店はこの決済を導入している通販事業者にあたります。
今回持ち出された情報は、3つの区分に分かれています。
1つ目は、サービスを利用した人の情報で、約526万件です。氏名や住所、電話番号に加えて、商品名や数量、単価といった商品明細も含まれます。メールアドレスを含むものは、このうち約49万件です。
2つ目は、利用者が指定したお届け先の情報で、約5万件です。氏名、住所、電話番号が、送り状番号とともに持ち出されました。贈り物の送り先のように、自分ではこのサービスを使っていない人も含まれうる区分です。
3つ目は、加盟店の情報で、約4,100件です。加盟店名と社内管理用の加盟店コードが対象です。
3つの区分の概数を単純に足すと、約531万件になります。ただし、これはヤマト運輸が合計として示した数字ではありません。また、発表の単位はいずれも「件数」です。1件の数え方や重複の扱いは説明されておらず、影響を受けた実際の人数は、この数字だけではわかりません。
第4報で目を引くのは、第2報からの変化です。10月2日の第2報では、漏えいの可能性がある情報として請求金額、債権残高、担当社員の氏名も挙げていました。第4報では、これらは調査の結果、持ち出しが確認されなかったとしています。
一方で、第2報になかった「お届け先情報」が、第4報では別の区分として示されました。漏えいの可能性を先に知らせ、調査で判明した持ち出しの範囲を続報で示す。段階を追った公表は、利用者がリスクを知り、対応を考える手がかりになります。
対象期間にも注目しておきたいところです。利用者情報と加盟店情報は2018年10月1日から2026年9月28日まで、お届け先情報は2021年2月5日から2026年9月28日までが対象です。何年も前に一度だけこの後払いを選んだ人も、対象に含まれている可能性があります。ヤマト運輸は対象者に順次個別に連絡するとしていますが、登録情報の変更などで個別の連絡が難しい人については、第4報の公表をもって通知に代えるとしています。
侵入の経路や原因の具体的な説明は、第4報にもありません。確認後に外部からのアクセスを制限したことや、セキュリティ専門機関の協力を得て調査したことは示されています。今後は、実施済みのセキュリティ対策に加え、外部専門機関の助言のもとで中長期的な対策を進めるとしています。
利用者の側で気をつけたいのは、持ち出された情報に商品明細が含まれている点です。
購入した商品名を知っている相手からの連絡は、本物らしく見えることがあります。ヤマト運輸は第4報で、不審なメールやSMS、電話についての問い合わせが寄せられていることを明らかにし、ヤマト運輸を装った迷惑メールへの注意も呼びかけています。買った商品名や届け先が合っていても、それだけで本物だと判断しないことが大切です。不審なメールやSMSのリンクは開かず、あらかじめ確かめた公式サイトから窓口を調べ、注文履歴と請求内容を照らし合わせてください。払込票も、手元に届いたことだけで信用せず、注文した覚えがなければ支払う前に問い合わせましょう。
なお、今回持ち出された情報に、クレジットカード情報とパスワードは含まれていません。それでも、心当たりのない請求やカードの利用がないかは確認しておくと安心です。不審なサイトにカード情報を入力してしまった場合は、カード会社に相談してください。
後払い決済は、カードを持たない人や使いたくない人にとって、通販の入り口を広げてきた仕組みです。物流と決済をあわせて担う事業者が、件数と項目を区分ごとに示し、確認できなかった項目まで明らかにしたことは、利用者と加盟店が次の行動を決めるための確かな材料になります。続報で原因と再発防止策が示されれば、この仕組みへの信頼を取り戻す道筋も見えてくるはずです。
【関連記事】
【解説】ムラウチドットコム771万件・東洋紡・ヤマトなど国内サイバー事案11件を入口別に整理
ヤマト運輸の第2報の段階で、漏えいの可能性がある項目と、サービスを停止していた当時の状況を入口別の整理の中で伝えた解説記事。
【編集部後記】
ヤマト運輸の法人向けFAQには、届け先と払込票の送付先が異なるギフト注文でも、このサービスを使えるとあります。贈り物の代金だけを後払いにする、という使い方です。
その場合、お届け先情報に名前が残るのは、贈った人ではなく、受け取った人です。自分では何も申し込んでいない人が、ある日「あなたの情報が持ち出された」と知らされる。思い当たる贈り物があるなら、相手に一言伝えておくだけでも、届いた連絡を落ち着いて確かめる助けになるかもしれません。
【用語解説】
後払い決済
商品を受け取ったあとに代金を支払う決済方式。決済事業者が購入者の与信審査や代金の請求・回収を担い、通販事業者には代金を立て替えて支払う形が一般的である。
払込票
コンビニや郵便局などで代金を支払うための用紙。クロネコ代金後払いサービスでは、商品の到着後に購入者へ郵送される。スマホ後払いでは、代わりに支払い手続きのメールがSMSとEメールで届く。
加盟店
決済サービスを導入し、自社の通販サイトなどで購入者に支払い方法として提供している事業者。今回の発表では、加盟店名と加盟店コードが持ち出し対象に含まれた。
送り状番号
宅配便の荷物ごとに割り振られる番号。配達状況の追跡などに使われる。今回の発表では、お届け先情報の項目の一つとして挙げられている。
【参考リンク】
ヤマト運輸（外部）
宅急便などの物流サービスを担うヤマトグループの中核企業。「クロネコ代金後払いサービス」を提供し、今回の第4報を公表した。
クロネコ代金後払いサービス（購入者向け）（外部）
ヤマト運輸の購入者向け説明ページ。払込票による支払いと、SMSやEメールで届くスマホ後払いの支払い手順を詳しく案内している。
【参考記事】
ヤマト運輸、氏名や住所など計530万件超が漏えい 「クロネコ代金後払い」不正アクセスで（外部）
ITmedia NEWSの記事。第4報の3区分の件数と項目、第2報で挙げた項目のうち持ち出されなかったものを伝えている。
ヤマト運輸、「クロネコ代金後払いサービス」不正アクセスで約530万件の個人情報漏えい（外部）
INTERNET Watchの記事。購入者情報、お届け先情報、加盟店情報の対象期間と件数を、区分ごとに表の形で整理している。
【第2報】「クロネコ代金後払いサービス」への不正アクセスの発生について（外部）
ヤマト運輸、2026年10月2日。請求金額や債権残高、担当社員の氏名を含む、漏えいの可能性がある情報を区分ごとに示した。
クロネコ代金後払いサービスの請求書（払込票）が届いたが、注文した覚えがない。（外部）
ヤマト運輸のFAQ。払込票に書かれた販売事業者に心当たりがなければ、購入者向けカスタマーセンターへの問い合わせを案内している。
速報！コンビニ払いを指示する架空請求にご注意！－詐欺業者から支払番号を伝えられていませんか？－（外部）
国民生活センター、2016年7月7日。コンビニ収納代行の仕組みを悪用し、支払番号を伝えて支払わせる架空請求に注意を呼びかけた。
