ヤマト運輸、決済サービスへの不正アクセスで顧客情報526万件流出

2026.10.18. 公正経済 — ヤマト運輸は、インターネット通信販売用の決済サービス「クロネコ代金後払いサービス」への不正アクセスにより、約531万件の顧客情報が流出した。

朝日新聞や読売新聞など複数の現地メディアは16日、ヤマト運輸がこうした調査結果を発表したと報じた。

流出した情報は、2018年10月1日から本年9月28日までにサービスを利用した顧客の氏名、住所、電話番号、メールアドレス、商品明細など、約526万件である。このうち約49万件にはメールアドレスが含まれていた。2021年2月5日以降、配送先情報約5万件と加盟店情報約4100件も流出した。クレジットカード情報とパスワードは含まれていなかった。

ヤマト運輸は9月28日に不正アクセスを確認し、同日夜にサービスを停止、29日に情報流出の可能性を公表した。その後、外部のセキュリティ専門機関とともに調査を進め、10月9日にサービスを再開し、16日に最終的な調査結果を発表した。

同社は流出について「お客様や関係者の皆様にご迷惑とご心配をおかけしましたことを重ねて深くお詫び申し上げます」と述べた。現時点では流出情報の不正利用による二次被害は確認されていないが、ヤマト運輸を名乗る不審なメールやSMS、電話に注意するよう呼びかけた。

時事通信社は、流出した情報が約8年分のものである点について、ヤマト運輸が「問い合わせ対応などのため一定期間保管していた」と説明したと伝えた。

ヤマト運輸は、情報が流出した対象者と加盟店に対し、順次個別に連絡を行う予定である。また、外部専門機関の助言のもと、中長期的な対策を通じて情報セキュリティ体制を強化し、再発防止に努める方針だ。

ヤマト運輸の「クロネコ代金後払いサービス」は2018年10月に開始された決済サービスで、インターネット通信販売の利用者が商品を受け取った後にコンビニエンスストアなどで代金を支払う方式である。今回流出した情報のうち約526万件がこのサービス利用顧客の情報であり、サービス開始以降の長期にわたるデータ保管の慣行が問題視されている。

クロネコ代金後払いサービスは、日本の電子商取引市場で高い利用率を示してきた。2025年時点でこのサービスの登録利用者数は約1200万人に達すると推定され、オンラインショッピングモールで「代金後払い」オプションとして広く採用されている。今回の流出事故により利用者の不安が高まる中、競合する決済サービスへの乗り換えを検討する消費者も増えている。

ヤマト運輸は、今回の事故以前にも個人情報流出事故を複数回経験している。2014年にはインターネットショッピングサイト「ヤマト運輸 ネットショップ」で顧客情報が流出し、2019年には「クロネコメンバーズ」サイトで約7万件の個人情報が流出した。2022年には子会社であるヤマトシステム開発が管理するシステムがサイバー攻撃を受け、取引先従業員の氏名や連絡先などが流出した。これらの経緯は、今回の大規模流出事故が一過性ではなく、構造的なセキュリティ脆弱性の繰り返しである可能性があるという指摘を生んでいる。

日本では、近年、物流・決済サービスを狙ったサイバー攻撃が相次いでいる。2025年には日本郵便が取り扱う宅配サービスで顧客情報が流出する事件が発生し、2024年には佐川急便がサイバー攻撃を受け、約50万件の個人情報が流出した。2025年3月には日本のあるオンラインショップがハッキングされ、約100万件の個人情報が流出し、2025年7月には宅配配送追跡システムを狙った攻撃が発生した。これらの背景には、物流業界のデジタル化加速とサイバーセキュリティ投資の不足が指摘されている。