日本郵便の国際郵便Web受付に不正アクセス、迷惑メール約52万通を送信

項目	内容
発生・公表日	迷惑メール送信: 2026年7月15日〜9月25日 / 判明・第一報: 9月25日 / 調査結果の発表: 10月16日
対象組織・業界	日本郵便株式会社（東京都千代田区）／郵便・物流
対象サービス	国際郵便物の「調査請求Web受付サービス」のサーバー
影響	迷惑メール約52万通 / 閲覧できる状態だった顧客情報約600件
攻撃手法	不正アクセス（侵入経路は未公表）
情報源	日本郵便公式（2026年9月25日） / 日本経済新聞（10月16日） / 時事通信（10月16日） / LOGI-BIZ online（10月16日）

概要

日本郵便は2026年10月16日、国際郵便の調査請求Web受付サービスが不正アクセスを受けたと発表しました。このサービスは、国際郵便物が届かないときなどにWebで調査を申し込むものです。

同サービスのメールアカウントから、約52万通の迷惑メールが送られていました。送信元は、同サービスが実際に使う正規のアドレスです。送信は7月15日から9月25日まで続き、宛先は不特定多数でした。

サーバー上の顧客情報約600件も、第三者が閲覧できる状態でした。報道によると、差出人の氏名・住所・電話番号や受取人の氏名・住所などが含まれます。

同社は、実際に閲覧されたかは確認できていないと説明しています。不正利用は確認されていません。迷惑メールに顧客情報は使われていないとしています。侵入経路は公表されていません。

同社は、このアドレスから届いたメールのリンクや添付ファイルを開かず、削除するよう呼びかけています。

本件のように、Webサービスの通知用アドレスが乗っ取られて送信に使われる場合があります。こうしたアドレスは、送る相手と量がおおむね決まっています。そこで、アドレスごとの平常の送信量を把握しておきます。

把握には、メールサーバーの送信ログが要ります。送信元アドレス・宛先数・時刻が記録されている必要があります。平常から大きく外れた送信を通知する設定にしておけば、送信が数か月続く前に気づける可能性が高まります。

本件で悪用されたのは、従業員の受信箱ではなく、サービスが通知に使う送信用アカウントです。人が日々開くものではないため、送信量の変化に担当者が気づく機会は少ないと考えられます。こうしたアカウントは、従業員のメール対策とは別の場所にリスクとして残ります。

そこで、業務システムごとの送信用アカウントを一覧にし、それぞれの見張り役を決めておく必要があります。異常な送信を見つけたときに、誰が送信を止めてよいかも決めておきます。メールサーバーを含むログをまとめて監視する仕組みは、その見張りを日常の運用に組み込む道具になります。（→ ヤグラ AI SOC）

判明次第、本記事に追記します。

日時	内容
2026-10-18	第一報を公開