ヤマト運輸は 10 月 16 日、後払いの決済サービスへの不正アクセスで、約 531 万件の情報が漏れたと発表しました。同じ日、情報処理推進機構(IPA)は、被害を疑う企業向けの相談窓口を開きました。
大事なのは、被害を疑った日に「誰が止め、誰に相談し、誰に知らせるか」を前もって決めておくことです。
30 秒でわかるポイント
- ヤマトの流出は購入者約 526 万件など。カード情報とパスワードは含まれない
- 米調査会社ガートナーは 10 月 13 日、日本企業に 7 つの緊急対策を提言
- IPA の新しい窓口は、被害の可能性や応急処置を電話とメールで助言する
1 分でわかる解説
ガートナーは、AI が攻撃に使われると、人が数日から数週間かけていた作業が、条件によっては数分で済む可能性があると見ています。気づいてから段取りを考えるのでは、間に合わなくなります。
2 つの発表を並べると、被害を疑った日に決めておくべきことが見えてきます。
| 前もって決めておくこと | 手がかり |
|---|---|
| サービスを止めるかを誰が決めるか | ガートナー: 停止や制限の経営判断を急ぐ |
| 最初に誰に相談するか | IPA の窓口: 被害の可能性の助言、専門業者の紹介 |
| 誰にどう知らせるか | ガートナー: 顧客への通知体制を確かめ直す |
ここから考えたい 3 つの問い
- 夜中に異常に気づいたとき、システムを止める判断は誰ができますか?
- 「受けたかも」と気づいた人は、最初に誰へ連絡することになっていますか?
- 委託先で事故が起きたとき、あなたの職場にはどう連絡が来ますか?
全文を読む(約 5 分)
何が起きたの? — 後払いサービスから 531 万件
不正アクセスを受けたのは、ヤマト運輸の「クロネコ代金後払いサービス」です。通販で買った商品の代金を、届いた後に払える仕組みです。
同社は 9 月 28 日、外部からのアクセスを制限し、22 時 28 分にサービスを止めました。その後の流れは次のとおりです。
| 日付 | 出来事 |
|---|---|
| 9 月 28 日 | 不正アクセスを確認し、夜にサービスを停止 |
| 9 月 29 日 | 不正アクセスの発生を公表 |
| 10 月 9 日 | サービスを再開(調査は継続) |
| 10 月 16 日 | 持ち出された情報の件数と中身を公表 |
10 月 16 日の発表で、持ち出された情報の中身が分かりました。
| 対象 | 件数 | 主な中身 |
|---|---|---|
| 購入者 | 約 526 万件 | 氏名、住所、電話番号、メールアドレス、商品明細 |
| 届け先 | 約 5 万件 | 氏名、住所、電話番号、送り状番号 |
| 加盟店 | 約 4,100 件 | 加盟店名、加盟店コード |
クレジットカード情報とパスワード情報は含まれていません。請求金額や債権残高も、持ち出しは確認されなかったとしています。
現時点で、二次被害は確認されていません。同社は個人情報保護委員会へ報告し、対象者には順次個別に連絡するとしています。
ガートナーの 7 つの対策って何?
IPA によると、国内では金融機関や通信事業者などから、不正アクセスによる情報漏えいの公表が相次いでいます。こうした中、ガートナー ジャパンは 10 月 13 日に緊急の提言を出しました。
| 対策 | 中身 |
|---|---|
| 公開しているものの点検 | ウェブサイト、システム同士をつなぐ窓口(API)、社外から社内網に入る通路(VPN)、取引先までを急いで点検する |
| 設定の点検 | ソフトの弱点だけでなく、ログインの仕組みや設定の不備も見る |
| 記録の調査 | アクセスの記録(ログ)を横断して調べ、見慣れないアクセスや大量のデータ取得がないか確かめる |
| 個人情報の整理 | 使い終わった個人情報が消されているか確かめる |
| 広がりを抑える | 侵入された後に社内で被害が広がらないよう、ネットワークを区切り、強い権限を管理する |
| 委託先の確認 | 委託先やクラウド事業者に、影響の有無と、侵害時の連絡体制を確かめる |
| 急いで直す | 重大な弱点を急いで直す。停止や制限の経営判断を急ぎ、復旧手順と顧客への通知体制も確かめ直す |
同社が 7 月に行った調査では、ソフトの弱点の管理(脆弱性管理)を十分にできている日本の大手企業は 30% でした。
一方で、同社の礒田優一氏は、国内の事案のすべてが AI を使ったものかは不明だとしています。AI を恐れる前に、基本の点検が追いついていない。7 つの対策は、そう読むこともできます。
IPA の窓口では何をしてくれるの?
IPA の「不正アクセス特別相談窓口」は、10 月 16 日 13 時に開きました。対象は全国の企業・組織です。被害を受けている段階だけでなく、その可能性がある段階でも相談できます。
- 起きていることを聞き取り、被害が出ている可能性を助言する
- 被害が出ている場合、応急処置の案を助言する
- 事故対応を請け負う専門業者の一覧を紹介する
- ほかに必要な相談先や報告先を紹介する
受付は電話(03-6759-5760)とメールです。電話は平日の 9 時 30 分から 17 時 30 分まで(12 時から 13 時は休み)です。
窓口は助言と紹介が役目で、調査や復旧を代わりに引き受けるものではありません。ヤマトがサービスを止めたのは 22 時台でした。夜や休日に気づいたとき、最初の判断は社内でするしかありません。
会社の段取りはどう変わるの?
攻撃が速くなるほど、気づいてから止めるまでの時間が被害の大きさを左右します。必要なのは、技術の担当者だけで抱えない段取りです。
| これまで | これから | |
|---|---|---|
| 気づいた人 | システムの担当者に任せる | 連絡する相手と順番を決めておく |
| 止める判断 | 被害がはっきりしてから会議で決める | 止める権限を持つ人を先に決めておく |
| 相談先 | 起きてから業者を探す | IPA の窓口と専門業者の一覧を控えておく |
| 知らせる相手 | 起きてから考える | 顧客・委託先・報告先への連絡の順を整理しておく |
SYNCON の視点 — 決めておくのは「人」と「順番」
7 つの対策のうち、いくつかは専門の担当者や業者の仕事です。ただ、サービスを止めるかどうかは経営の判断です。売上が止まる判断を、夜中に担当者 1 人へ背負わせるわけにはいきません。
礒田氏は、経営者がデジタル防衛を最重要課題の一つに位置づけ、自ら先頭に立つ必要があると述べています。経営者の仕事は、止める判断をする人とその代わりの人、最初に相談する先、知らせる相手の順番を、紙 1 枚に書いておくことです。
委託先も忘れられません。自社の情報を預けている先で事故が起きたとき、いつ、誰から連絡が来るのか。契約書に書かれているかを確かめるのが、今日からできる一歩です。
要点まとめ
- ヤマト運輸の後払いサービスから約 531 万件。カード情報とパスワードは含まれない
- ガートナーは 10 月 13 日、公開資産の点検や委託先の確認など 7 つの緊急対策を提言
- 弱点の管理を十分にできている日本の大手企業は 30% という調査も
- IPA は 10 月 16 日、被害を疑う企業向けの相談窓口を開設。助言と専門業者の紹介が中心
- 止める判断をする人、相談先、知らせる順番は、経営が前もって決めておく項目
情報ソース:
・ヤマトホールディングス「クロネコ代金後払いサービス」への不正アクセスに関するお知らせ(第 4 報、2026 年 10 月 16 日)
・ITmedia ビジネスオンライン「ヤマト運輸、個人情報「531万件」流出 商品明細も漏えい、クレカやパスワードの流出はなし」(2026 年 10 月 16 日)
・セキュリティ対策Lab「ヤマト運輸「クロネコ代金後払い」で不正アクセスによるサイバー攻撃で約531万件の個人情報漏洩の恐れ」
・IPA「不正アクセス特別相談窓口の開設について」(2026 年 10 月 16 日)
・ZDNET Japan「ガートナー、多発する日本企業の不正アクセス事案で緊急提言」(2026 年 10 月 14 日)
・ビジネス+IT「ガートナー、日本企業の不正アクセス多発で緊急提言 公開資産の点検など7項目を提示」(2026 年 10 月 14 日)
AI・最新テックの動きを、毎日 X でお届けしています
X で @SYNCONJP をフォロー
コメント