ヤマト運輸で531万件の情報漏えい！中小企業が学ぶべき対策とは

「自社で管理している顧客情報が、第三者に持ち出されたとしたら……」

2026年10月16日、ヤマト運輸は「クロネコ代金後払いサービス」への不正アクセスについて、調査結果を公表しました。約531万件の顧客・お届け先情報の持ち出しが確認され、加盟店情報も対象となっています。

10月17日付のThe Japan Timesも、この事案を含め、国内企業で相次ぐ情報漏えいの発表を報じています。

今回考えたいのは、特定の企業の責任を論じることではありません。自社でも顧客情報を扱っている経営者が、何を確認し、どのように備えればよいのかという問題です。

目次

• ヤマト運輸の公式発表で確認された事実
• どのような情報が持ち出されたのか
• 情報漏えいが顧客と企業に与える影響
• 国内企業で相次ぐ情報漏えいから考えること
• 中小企業が確認したい5つの対策
• サイバー保険の補償と注意点
• 今日、社長が確認できること

ヤマト運輸の公式発表で確認された事実

ヤマト運輸は2026年9月28日、「クロネコ代金後払いサービス」に対する第三者の不正アクセスを確認しました。翌29日に第1報を公表し、10月16日の第4報で、セキュリティ専門機関による調査結果を説明しています。

同社によると、サービスに関係する一部の情報が不正に持ち出されました。不正アクセスの確認後、外部からのアクセスを制限するなどの対応を行い、個人情報保護委員会にも報告しています。

また、10月16日の発表時点では、持ち出された情報が不正利用されたことによる二次被害は確認されていないとしています。

出典：ヤマトホールディングス「クロネコ代金後払いサービス」への不正アクセスに関する調査結果と今後の対応について（2026年10月16日）

どのような情報が持ち出されたのか

公式発表では、持ち出された情報が次のように区分されています。

• 利用者情報：約526万件：氏名、住所、電話番号、メールアドレス、商品明細、申込番号などの社内管理用情報。メールアドレスを含むものは約49万件。
• お届け先情報：約5万件：お届け先の氏名、住所、電話番号、送り状番号。
• 加盟店情報：約4,100件：加盟店名と加盟店コード。

約531万件という数字は、主に利用者情報とお届け先情報を合わせた規模を表しています。件数は必ずしも異なる個人の人数を意味しません。

クレジットカード情報とパスワードは対象外

重要なのは、何が漏えいしたかだけでなく、何が含まれていなかったかも正確に伝えることです。

ヤマト運輸は、今回持ち出された情報にクレジットカード情報とパスワード情報は含まれていないと明記しています。

また、以前に懸念されていた請求金額、債権残高、同社社員の氏名についても、調査の結果、不正な持ち出しは確認されなかったと説明しています。

事故を正確に理解するためには、確認済みの被害と確認されていない事項を区別することが欠かせません。

情報漏えいが顧客と企業に与える影響

氏名や住所、電話番号、メールアドレスなどが第三者に渡った場合、顧客は不審な連絡やなりすましへの不安を感じる可能性があります。

今回、ヤマト運輸も不審なメール、SMS、電話への注意を呼びかけています。ただし、こうした連絡がすべて今回の事故に起因すると確認されているわけではありません。

顧客に考えられる影響

• 企業や配送業者を装った不審なメール・SMSへの警戒
• 氏名や購入履歴などを利用した、もっともらしい連絡への不安
• 自分の情報がどこまで漏えいしたのかという問い合わせ
• サービスを継続利用することへの不安

企業側に考えられる影響

• 原因調査やシステムの安全確認にかかる費用
• 対象顧客への連絡や問い合わせ対応
• 一時的なサービス停止や業務負担の増加
• 顧客や取引先からの信頼への影響
• 再発防止策の検討と実施

これらは一般的に想定される影響です。今回のヤマト運輸の事案ですべてが発生したという意味ではありません。

国内企業で相次ぐ情報漏えいから考えること

10月17日付のThe Japan Timesは、ヤマト運輸のほか、日本経済新聞社、パーク24、京王電鉄、ファンケルなどに関するサイバー事故や情報漏えいの発表を報じています。

ただし、それぞれの事故原因、対象情報、被害規模、調査状況は異なります。複数企業が同じ攻撃を受けたと判断できるものではありません。

中小企業にとって重要なのは、企業規模や業種が異なっていても、顧客情報の管理や外部サービスの利用に共通する課題があることです。

例えば、顧客情報を扱うサービスを外部に委託している場合、委託先で事故が起きた際に誰が調査し、誰が顧客に説明するのかを確認しておく必要があります。

業務システムの停止に備える実務については、サイバーBCPと復旧訓練も参考にしてください。

中小企業が確認したい5つの対策

1．顧客情報を保存している場所を把握する

顧客情報が自社のパソコン、社内サーバー、クラウドサービス、外部委託先のどこに保存されているかを整理しましょう。

確認したいのは、保存場所だけではありません。どの情報を、誰が、何のために利用できるのかも重要です。

2．アクセス権限と多要素認証を確認する

管理者アカウントに多要素認証を設定し、必要以上の権限を与えていないか点検します。退職者や異動した従業員のアカウントも確認しましょう。

3．不要な顧客情報を保管し続けない

過去の取引情報や古い顧客リストを、利用目的や保存の必要性を確認せずに残していないでしょうか。

法令や業務上の保存義務を確認したうえで、不要になった情報を適切に削除する仕組みを整えましょう。

4．委託先に事故対応の手順を確認する

顧客管理、決済、予約、受発注などを外部サービスに任せている場合、次の3点を確認してみてください。

1. 不正アクセスや情報漏えいが疑われた場合、誰に連絡すればよいか。
2. 事故の調査、影響範囲の確認、顧客への説明は誰が担当するか。
3. データのバックアップ、復旧、再発防止はどのような役割分担になっているか。

契約書やサービス利用規約に定めがある場合は、その内容と実際の連絡体制が一致しているかも確認しましょう。

5．事故時の顧客対応を準備する

情報漏えいが疑われた場合に備え、社内の報告先、調査を依頼する専門家、顧客への説明担当者を決めておきます。

個人情報保護法上、一定の漏えい等事案では個人情報保護委員会への報告や本人通知が必要です。事故の内容に応じて判断する必要があります。

詳しくは個人情報保護委員会の公式案内を確認してください。

サイバー保険の補償と注意点

サイバー保険は、情報漏えいやサイバー攻撃が発生した場合の経済的負担に備える手段の一つです。

契約内容によっては、次のような費用や損害が補償対象となる場合があります。

• 不正アクセスの原因や被害範囲を調査する費用
• 顧客への通知や問い合わせ対応に関する費用
• 弁護士や専門家への相談費用
• 法律上の損害賠償責任に関する補償
• 対象となる事故によるシステム復旧費用
• 所定の条件を満たす営業停止による利益損失

ただし、情報漏えいが起きたという理由だけで、すべての費用が支払われるわけではありません。

特に確認したいのは、外部委託先で発生した事故が対象となるか、調査費用に事前承認が必要か、免責金額や支払限度額がどのように設定されているかという点です。

また、顧客離れや評判悪化による将来の売上減少が、必ず補償されるわけではありません。保険は失われた信頼そのものを元に戻す仕組みではないことにも注意が必要です。

基本的な仕組みは中小企業向けサイバー保険の実務ガイド、補償の違いはサイバー保険の比較ポイントも参考にしてください。

今日、社長が確認できること

今回のニュースを、自社の情報管理を見直すきっかけにしてみてください。

1. 顧客情報を保存しているサービスを一つ選ぶ。
2. 管理者アカウントの多要素認証を確認する。
3. そのサービスの緊急連絡先を確認する。
4. 不要な顧客情報が残っていないか確認する。
5. 万一の事故時に、誰が顧客に説明するのか決める。

今回のヤマト運輸の事案では、公式発表によって、持ち出された情報の範囲と、含まれていない情報が明らかになりました。

中小企業でも、顧客情報の所在と事故時の対応を日頃から把握しておくことが大切です。

まずは今日、自社が利用する顧客管理サービスの管理者アカウントと、事故時の連絡先を確認してみましょう。

本記事は2026年10月17日時点で確認できるヤマト運輸の公式発表および報道を基に作成しています。記事中の一般的な経営リスクは、今回の事故で実際に発生した被害とは区別して記載しています。