佐川急便スマートクラブ、システム復旧作業の設定誤りで配達予定通知メールに別会員の情報を表示——約7万人が対象
| 項目 | 内容 |
|---|---|
| 発生日 | 2026年7月15日夕方ごろに事象発生 |
| 対象組織・業界 | 佐川急便株式会社（物流・宅配） |
| 攻撃手法 | 攻撃ではなくシステム不具合復旧作業時の設定誤りによる情報露出（サイバー攻撃は否定） |
| 情報源 | 佐川急便 公式（2026年7月18日）、Security NEXT（2026年7月23日）、サイバーセキュリティ.com（2026年7月22日）、Impress INTERNET Watch（2026年7月18日） |
佐川急便株式会社は2026年7月18日、会員制Webサービス「スマートクラブ」の配達予定通知メールに別会員の情報が表示される事象が発生したと公表しました。表示されたのは氏名・メールアドレス・お問い合わせ送り状Noで、住所やクレジットカード情報は含まれません。
対象は約7万人とされ、対象会員には順次お詫びと詳細案内のメールが送信されています。同社は「第三者による不正アクセスやサイバー攻撃ではなく、システム不具合の復旧作業時の設定誤りが原因」と明言しています。
- 2026年7月15日 夕方ごろ: 事象発生。システム不具合の復旧作業時に配達予定通知メールの設定に誤りが生じ、別会員の情報を含むメールが送信される状態に
- 2026年7月18日: 佐川急便が公式に公表。原因への対策は実施済みで、サービスは正常に利用できる状態と説明
- 2026年7月22日〜23日: 各報道機関が続報を報じ、対象が約7万人規模であることが広く伝えられる
公表時点で二次被害・悪用の事実は言及されていません。
公式発表によると、システム不具合への復旧作業を実施した際、配達予定通知メールの設定に誤りが生じたことが原因です。サイバー攻撃・不正アクセスは明確に否定されています。
考えられる原因（推測）
Section titled “考えられる原因（推測）”以下は公表事実から考えられる技術的な仮説であり、佐川急便が公表したものではありません。
「復旧作業時の設定誤り」による「別会員の情報表示」というパターンは、以下のいずれかで起こりやすいことが知られています。
- メールテンプレートの変数割り当てミス: 送信ジョブが宛先ごとに動的にデータを埋め込む仕組みで、宛先と本文データの紐付け（キー）が正しく設定されていない場合、Aさん宛のメール本文にBさんのデータが埋め込まれます。復旧作業でジョブの設定を戻す際に、この紐付け設定が壊れた可能性が考えられます
- バッチ処理のオフセット不整合: 宛先リストと本文データの並びが1行ずれるだけで、全員に「他人の情報」が届きます。バッチの再実行・分割送信の際に発生しやすい類型です
- キャッシュ・セッションの取り違え: 前回リクエストのデータがキャッシュに残り、次のユーザーに漏出するパターン。復旧作業でキャッシュのクリアや再構築が不完全だった場合に起こり得ます
いずれのパターンでも共通するのは、「本番相当のデータで宛先と本文の整合を確認する回帰テスト」が復旧作業のフローに組み込まれていれば発見できた可能性が高いということです。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 復旧作業のリリース品質保証は、平常時の変更よりも厳しく: 「不具合を直すための緊急変更」は、通常のリリースよりチェックが緩くなりがちで、今回のような「戻したはずが別の壊れ方をした」事案が起きやすい構造があります。緊急変更にもプレビュー環境での動作確認と、送信前サンプルの目視チェックを組み込む運用が必要です。
2. 「誰に何を送ったか」が完全に再現できるか: 配信メールの送信ログ（宛先・本文のスナップショット）が保全されていなければ、「7万人のうちどの受信者が誰の情報を見たか」を完全には特定できません。誰に何が届いたかの完全な突合は、影響範囲の説明責任・当該会員への正確な通知の前提です。
3. サイバー攻撃でなくても「漏えい等が発生し、又は発生したおそれがある事態」: 攻撃ではなくても、多数の個人情報が意図せず他者に開示された時点で、改正個人情報保護法上の報告・通知義務の検討対象です。原因が「攻撃かどうか」と「報告義務があるかどうか」は独立した論点であり、両方を平時からフローに組み込んでおくことが重要です。
ヤグラの視点 — 7万件の受信者が、次の攻撃の道具になる前に
Section titled “ヤグラの視点 — 7万件の受信者が、次の攻撃の道具になる前に”この事案の見落とされがちな怖さは、約7万人の受信者が「他人の氏名・メールアドレス・送り状No.」を知ってしまった状態にあります。ここから起こり得るのは、その情報を使った時間差の二次波です——例えば、送り状No.と受取人名を組み合わせて「佐川急便を装った再配達詐欺」のシナリオが成立しますし、氏名とメールアドレスの組み合わせは、フィッシングの精度を一段上げる材料になります。漏えいが「露出のその瞬間」で終わらないのが、名寄せ可能な個人情報を含む事案の本当の性質です。組織側にできることは、①誰に何が届いたかを送信ログで完全に把握する、②受信者側に「今後この件を装った連絡が来る可能性がある」と具体的に注意喚起する、③関連ドメイン・送信元を装ったフィッシングメールを平時から監視する体制を持つ——の3つで、いずれもログと分析が土台になります。人手で全ログを横断監視するのは現実的でなく、AIによる24時間365日の横断ログ監視と自動封じ込め（検知から初動まで平均数分）が、時間差の二次波に備える現実解になりつつあります。（関連: PhishAI・ヤグラ AI SOC）
個人情報保護委員会への報告状況、対象会員への通知完了、なりすまし・二次被害の有無に関する続報を注視し、判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-07-27 | 第一報を公開 |