宅配大手のヤマト運輸（東京都中央区）、「クロネコ代金後払いサービス」に不正アクセス — 9月28日22時28分にサービスを停止、利用者の氏名・住所・請求金額などが漏えいした可能性

2026/09/30 （更新 2026/10/07）情報収集中中程度運輸・物流 #不正アクセス

項目	内容
発生日	不正アクセスの確認: 2026年9月28日（侵入が始まった時期は公表されていない）
公表日	2026年9月29日（第一報）／2026年10月2日（続報・漏えいの可能性と情報項目）
対象組織・業界	ヤマト運輸株式会社（東京都中央区／宅配便「宅急便」を中核とする宅配大手）。対象は通信販売向けの決済サービス「クロネコ代金後払いサービス」
影響件数	件数は公表されていない。10月2日の続報で、利用者の氏名・住所・電話番号・メールアドレス・与信番号・請求金額・債権残高・商品明細、加盟店の加盟店名・加盟店コード、本サービスを扱うヤマト運輸従業員の氏名が漏えいした可能性があると公表。クレジットカード情報とパスワードは含まれない
攻撃手法	公表されていない。第三者による不正アクセスとのみ説明されている
情報源	ヤマトホールディングス「『クロネコ代金後払いサービス』への不正アクセスについて」（2026年9月29日・yamato-hd.co.jp）、ITmedia NEWS（2026年9月29日）、ASCII.jp（2026年9月29日）、INTERNET Watch（2026年10月2日）、ネットショップ担当者フォーラム（2026年10月2日）、Security NEXT（2026年10月1日）

概要

ヤマト運輸株式会社（東京都中央区／宅配便「宅急便」を中核とする宅配大手）は2026年9月29日、「クロネコ代金後払いサービス」が第三者による不正アクセスを受けたと公表しました。

クロネコ代金後払いサービスは、通信販売で購入した商品を先に受け取り、後からコンビニエンスストアや郵便局などで代金を支払える決済サービスです。

同社は2026年9月28日に不正アクセスを確認し、外部からのアクセス制限など必要な措置を講じたうえで、同日22時28分に本サービスを停止しています。

2026年10月2日の続報では、情報の一部が漏えいした可能性があると公表されました。対象として挙げられているのは、利用者の氏名、住所、電話番号、メールアドレス、与信番号、請求金額、債権残高、商品明細です。あわせて、加盟店の加盟店名と加盟店コード、本サービスを取り扱うヤマト運輸従業員の氏名も対象に含まれます。クレジットカード情報とパスワードは含まれていないとしています。

件数と侵入経路は公表されていません。セキュリティ専門機関の協力を得て、原因と影響範囲の調査および復旧対応を進めているとしています。

宅急便を含む他のサービスは通常どおり利用できるとしています。サービスの復旧時期は未定で、確認でき次第案内するとしています。

経緯

2026年9月28日: 「クロネコ代金後払いサービス」への第三者による不正アクセスを確認。外部からのアクセス制限など必要な対策を実施
2026年9月28日22時28分: 本サービスを停止
2026年9月29日: 事案を公表。セキュリティ専門機関の協力を得て原因と影響範囲を調査中と説明。宅急便を含む他サービスへの影響はないと案内
2026年10月2日: 続報を公表。利用者・加盟店・従業員の情報の一部が漏えいした可能性があると説明。クレジットカード情報とパスワードは含まれないとした
2026年10月7日時点: 件数と侵入経路は未公表のまま。復旧時期も未定

対策

本件は侵入経路も件数も公表されていません。以下は、決済に関わるサービスを運用している組織が一般的に確認できることです。

同社は不正アクセスを確認した当日のうちに後払いサービスだけを停止し、宅急便を含む他のサービスは通常どおり使えると案内しました。1つのサービスを止めても他が動く形にしてあれば、止める判断のハードルが下がります。どのサービスがどの基盤を共有しているのかを平常時に把握し、切り離して止められる単位を決めておきます。

もうひとつは記録です。本件では停止が当日中に済んだ一方で、漏えいの可能性が公表されたのは4日後の10月2日で、件数は10月7日時点でも出ていません。止めることと、どこまで影響したかを説明することは別の作業です。認証の記録、データの参照記録、外向き通信の記録を平常時から保存しておけば、停止後の調査で「この範囲までは触れられていない」と言う根拠になります。

ヤグラの視点 — 止めるまでは速かった。次に問われるのは範囲を言えるかどうか

不正アクセスの確認から停止までは同日中に収まっており、ここは速い対応です。一方で、漏えいの可能性が示されたのは4日後の10月2日、件数は10月7日時点でも出ていません。決済サービスは氏名や連絡先に加えて購入と入金の履歴が集まる場所で、利用者にとっては自分の情報が出たのかどうかが最も知りたい点になります。

止める判断は人が数時間で下せますが、どこまで影響したかは、そのとき残っていた記録の量で決まります。外部と接続し個人情報と入金情報が集まるサービスほど、認証・参照・外向き通信の記録を平常時から1か所に集めておく価値があります。量が多く人手で見切るのは無理なので、AIによる24時間365日の横断的なログ監視を置けば、検知から初動までを数分の単位に縮められ、停止後に影響範囲を確定する作業にも同じログを使えます（→ ヤグラ AI SOC）。

今後の対応

漏えいした可能性がある情報の件数（利用者・加盟店・従業員のそれぞれ）
不正アクセスの手法と侵入経路、侵入が始まった時期
「クロネコ代金後払いサービス」の復旧時期
加盟する通信販売事業者と利用者への影響、および個別の案内の有無
個人情報保護委員会への報告と、同社が公表する再発防止策

判明次第、本記事に追記します。

更新履歴

日時	内容
2026-09-30	第一報を作成
2026-10-07	公開前に、2026年10月2日公表の続報（情報の一部が漏えいした可能性、対象となる情報項目、クレジットカード情報・パスワードは含まれない旨）を反映