ヤマト運輸で531万件の情報漏えい、日経新聞183万件・タイムズは免許証画像を即時削除へ

ヤマト運輸、クロネコ代金後払いで531万件流出

ヤマト運輸は2026年10月16日、不正アクセスにより漏えいした個人情報の件数が531万件に上ったと発表しました。対象は通販サイトで注文した商品の受け取り後に代金を支払う「クロネコ代金後払いサービス」の一部利用者です。同社は前月29日、個人情報流出の可能性があると発表していました。

漏えいしたのは利用者の氏名や住所、電話番号など約526万件で、このうち約49万件にはメールアドレスが含まれます。荷物の送り先情報など約5万件も流出しました。対象期間は2018年10月1日から2026年9月28日までで、約8年分の情報が漏えいしたことについて同社は「問い合わせ対応などのため一定期間保持していた」と説明しています。

ここで注目したいのは、漏えいした情報の「量」だけでなく「期間の長さ」です。約8年分という長期にわたる情報が対象となった点は、過去にサービスを利用したことのある人にとっても他人事ではありません。氏名・住所・電話番号といった基本的な情報は、それ単体では大きな被害につながらないように見えますが、他の情報と組み合わされることで、なりすましや迷惑メール、不審な電話などの二次的なリスクにつながる可能性があります。メールアドレスが含まれる約49万件については、フィッシングメールなどの標的にされるおそれもあるため、心当たりのない連絡には注意が必要です。

日本経済新聞社183万件、タイムズは免許証画像を削除へ

日本経済新聞社も同日、システム開発に利用するクラウドサービスが不正アクセスを受け、約183万件の個人情報が漏えいしたと発表しました。内訳は氏名やメールアドレス、住所などのいずれかを含む個人情報が約15万件、単体では個人を特定できない「識別子」のみが約168万件です。7日に流出し、不正アクセスに使われた認証情報は無効化したとしています。

こちらの事例では、個人を特定できる情報と、単体では特定できない「識別子」が分けて公表されている点が特徴です。件数だけを見ると183万件と大きく見えますが、内訳を確認することで、実質的なリスクの大きさを判断する材料になります。発表内容を読む際は、総件数だけでなく、どのような種類の情報が含まれているかに目を向けることが大切です。

カーシェアリングサービス「タイムズカー」の会員情報漏えいでは、運営会社の親会社パーク24が16日、保有する運転免許証などの本人確認書類画像を今月末までに順次削除すると発表しました。社内ルールも変更し、今後は本人確認完了後に即時削除します。タイムズでは個人情報約660万件が流出し、うち約160万件には免許証などの画像が含まれていました。社内ルールで退会後もデータを7年間保管していたため、退会者の情報も流出していました。

この事例は、情報の「保管方針」そのものが被害の大きさを左右することを示しています。退会後も7年間データを保管するという社内ルールが、結果として退会済みの利用者の情報まで流出させる原因となりました。本人確認書類の画像は、氏名や住所に加えて顔写真や生年月日なども含まれるため、悪用された場合の影響が大きくなりやすい情報です。保管期間の見直しと即時削除への方針転換は、こうしたリスクを踏まえた対応だと考えられます。

今回の公表で判明していること

16日はこのほか、ランサムウエア攻撃を巡り京王電鉄が攻撃者による情報公開の主張を発表し、外部専門家は国際ハッカー集団「Qilin」による攻撃の可能性が高いと見ているということです。ファンケルとグループ会社のアテニアは計約83万件の会員情報流出を、日本郵便も約600件分の氏名や住所が流出した可能性を公表しました。複数の企業で相次いで不正アクセスによる情報漏えいが確認され、被害件数や対象期間、保管していた情報の範囲がそれぞれ公表されています。

一連の発表に共通しているのは、不正アクセスという手口が特定の業種や規模に限らず発生しているという点です。物流、メディア、カーシェアリング、化粧品、郵便と、事業領域はさまざまです。だからこそ、自社とは関係がないと切り捨てるのではなく、自社の情報管理のあり方を点検するきっかけとして捉えることが重要です。特に、どの情報を、どれくらいの期間、どのような目的で保管しているかを把握しておくことは、万が一の際の被害を抑える第一歩になります。

また、発表内容を読む際には、件数だけでなく、対象となるサービス、対象期間、含まれる情報の種類を確認することが判断の助けになります。今回のように複数の企業の発表が同じ時期に重なると、情報が混同しやすくなるため、出典元を確認しながら整理して理解することが望ましいといえます。