佐川急便の追跡サービス再開、最大5,323万件流出の可能性 ― ECが備える障害時の配送連絡

佐川急便は2026年10月23日、「お荷物問い合わせサービス」を再開するとともに、不正アクセスで最大約5,323万件の個人情報が流出した可能性があると公表しました。配送状況を確認できない時間が長引けば、購入者の不安はEC事業者への問い合わせとして返ってきます。

今回の件から考えたいのは、配送会社のセキュリティ対策そのものだけではありません。外部の追跡機能が止まっても、購入者への説明を止めず、キャンセルや再購入離れを防ぐ運用を持てているかです。

配送追跡サービスの障害対応とは

配送追跡サービスの障害対応とは、荷物の現在地を取得できないときに、EC事業者が代替の案内経路と社内手順を使って購入者との連絡を維持することです。復旧を待つだけではなく、影響範囲の確認、表示の切り替え、問い合わせ対応、復旧後のデータ確認までを含みます。

注文管理画面に配送会社の情報を表示していても、元の追跡サイトやAPIが停止すれば更新は止まります。購入者から見れば「配送会社の障害」ではなく、「買った店で荷物の状況が分からない」という体験です。

最大約5,323万件、追跡サービスは10月23日に再開

佐川急便の第5報によると、流出した可能性がある個人情報は現時点で最大約5,323万件です。この数字には重複が含まれ、対象者の実人数を示すものではありません。

対象には、2026年6月21日から9月30日までの約100日間に扱った送り状データが含まれます。依頼主と届け先の氏名・住所・電話番号のほか、運賃契約を結ぶ顧客の情報、会員制Webサービス「スマートクラブ」の氏名・住所・電話番号・メールアドレス・会員IDも対象です。

クレジットカード情報とパスワードは含まれていないと発表されています。手書き送り状の荷物情報も流出対象外です。

不正アクセスが判明したのは9月30日午前7時30分。被害拡大を防ぐため、荷物追跡や集荷受付など複数のWebサービスが停止されました。一般向けの「インターネット貨物のお荷物問い合わせ」は、点検と必要なセキュリティ対策を経て10月23日に再開しています。

佐川急便は、同日時点で本件に関連する個人情報の不正利用などの二次被害は確認されていないとしています。あわせて、佐川急便を装うメール、SMS、電話への注意を呼びかけました。

なぜ追跡停止がECの売上と利益に響くのか

配送情報は、出荷後に購入者が自分で不安を解消するための窓口です。その窓口が止まると、「いつ届くのか」「住所変更は間に合うか」「この連絡は本物か」といった確認が店舗側へ集中します。

問い合わせが増えれば、1件ずつ配送会社へ確認する工数が発生します。回答が遅れれば、購入者はキャンセルや受取拒否を考えやすくなり、今回のように個人情報流出が伴うケースでは、偽SMSへの警戒から正規の配送通知まで疑われかねません。

売上への影響は、その注文のキャンセルだけではありません。「届くまで店から説明がなかった」という記憶は、次回購入の判断に残ります。障害時の連絡は、CSの臨時作業ではなく、将来の売上を守る購入後体験の運用です。

日本のEC事業者が用意しておきたい対応

最初に決めるのは、追跡データが止まったと判断する条件です。APIエラー、一定時間イベントが更新されない注文、配送会社の公式障害情報を組み合わせ、通常の遅延とシステム停止を分けます。

案内文には、判明している事実、使えない機能、購入者が取れる行動、次回更新の目安を入れます。復旧時刻が発表されていないなら、「本日中に復旧予定」といった独自の見込みは書きません。

配送会社の追跡URLだけを送る設計も見直しどころです。注文履歴や自社の追跡ページに障害告知を出せれば、リンク先が開かない理由を購入者自身で把握できます。配送状況の問い合わせを減らす設計は、「いつ届く？」問い合わせを減らす方法でも詳しく解説しています。

もう一つは、問い合わせの優先順位です。配達予定日を過ぎた注文、住所変更が必要な注文、ギフトなど期日が重要な注文から確認するルールを決めます。全件を同じ順番で追うより、売上毀損と顧客影響の大きい注文へ人を寄せやすくなります。

復旧は「ページが開いたら完了」ではない

追跡サービスの再開後には、止まっていた期間のイベントがまとめて反映される可能性があります。EC側の自動通知が連動していれば、古い出荷通知や配達完了通知が重複しないかを少数の注文で確かめてから通常運用へ戻します。

今回の第5報では、一般向け追跡は再開した一方、法人向け追跡APIなどは停止中でした。自社でAPI連携している場合、購入者が配送会社のサイトで確認できても、自社画面だけ更新されない状態が起こり得ます。復旧判定はサービス単位で行う必要があります。

障害中に届いた問い合わせも残ります。未回答、配送済みなのに調査中のままの案件、キャンセル希望を整理し、通常キューへ埋もれさせない。ここまで終えて、ようやく購入後体験の復旧です。

まとめ

• 佐川急便は2026年10月23日、一般向け荷物追跡サービスを再開し、最大約5,323万件の個人情報が流出した可能性を公表した
• 最大件数は重複を含み、実人数ではない。クレジットカード情報とパスワードは対象外と発表されている
• 追跡APIなど一部サービスは第5報時点で停止中のため、機能ごとに復旧を確認する
• EC事業者は代替案内、偽連絡への注意、問い合わせの優先順位を事前に決めておく
• 復旧後は滞留イベントと重複通知まで点検し、購入者への案内を閉じる

よくある質問

Q. 佐川急便の荷物追跡サービスは再開していますか？

A. 一般向けの「インターネット貨物のお荷物問い合わせ」は、点検と必要なセキュリティ対策を経て2026年10月23日に再開しました。法人向け追跡APIなど一部サービスは、同日の第5報時点で停止が続いていました。

Q. 流出した可能性がある情報は何ですか？

A. 送り状データの依頼主・届け先の氏名、住所、電話番号、契約者情報、スマートクラブ登録者情報などです。クレジットカード情報とパスワードは含まれていないと発表されています。

Q. EC事業者は配送会社の障害時に何を案内すべきですか？

A. 影響範囲、利用できない機能、代替の確認方法、次回更新予定、公式情報へのリンクを注文履歴やメールなど複数の接点で案内します。未確認の復旧時刻は断定しません。

Q. 追跡APIが止まった場合も配送通知は送るべきですか？

A. 正確性を確認できる範囲で送ります。古い追跡情報を最新情報として自動配信せず、データ更新が止まっている旨と配送会社の公式案内を併記します。

Q. 復旧後にEC事業者が確認することは何ですか？

A. 滞留していた追跡イベントの反映、重複通知、誤った配達予定日の表示、問い合わせ残件を確認します。通常運用へ戻す条件を決め、案内の終了も購入者に伝えます。

参考・出典

1. 佐川急便「『お荷物問い合わせサービス』の再開および 個人情報の流出に関する調査状況について（第5報）」（2026年10月23日）
2. ITmedia NEWS「佐川への不正アクセス、最大5323万件の個人情報流出か　9月末のサイバー攻撃で続報」（2026年10月23日）
3. Impress Watch「佐川急便、不正アクセスの個人情報流出は最大5323万件」（2026年10月23日）