大手3社で相次ぐ不正アクセス公表 ('26/10/26号)

2026年10月下旬、私たちの生活インフラに密接に関わる大手サービス3社において、外部からの不正アクセスに伴う個人情報流出・漏えい事案が相次いで公表されました。各社の公式リリースおよび個人情報保護委員会への報告内容によると、2026年10月23日に物流大手の佐川急便株式会社（SGホールディングスグループ）がお荷物問い合わせサービス等に関連し、最大約5,323万件にのぼる個人情報が流出した可能性（おそれ）があるとの続報を発表しています。また、同時期に宅配ピザチェーンを展開する日本ピザハット株式会社もオンライン注文サービス関連システムへの不正アクセスによる情報漏えいを公表したほか、パーク２４グループ（タイムズモビリティ株式会社）が運営するカーシェアリングサービス「タイムズカー」においても、会員の氏名・住所・運転免許証情報などの漏えいが確認されたと発表されました。なお、公表内容の正確な事実関係として、佐川急便の事案は「流出の可能性（おそれ）」として調査・報告が行われている一方、タイムズカーでは実際に「外部送信の痕跡および漏えいが確認された」と発表されており、事案ごとに被害の確定状況が異なります。

各社で異なる影響範囲と漏えいデータの技術的リスク

今回の3社の事案では、不正アクセスの対象となったシステム構造の違いから、影響を受けた情報の範囲とセキュリティ上のリスクが大きく異なります。 佐川急便では「クレジットカード情報およびパスワードは流出の対象外」、日本ピザハットでも「決済用のクレジットカード情報は含まれない」と明言されており、これらの情報を用いた直接的な不正決済のリスクは低いとされています。一方で、タイムズカーの事案では、氏名や住所などに加え、「暗号化された本人確認書類の画像データ」や「一部のハッシュ化されたパスワード情報」についても外部送信の痕跡が公表されました。技術的な観点において、暗号化やハッシュ化（元の文字列を特定の関数で不可逆な別の文字列に変換する処理）が施されていれば平文（そのままの状態）での即時悪用は防げるものの、推測されやすい単純なパスワードを設定していた場合、特殊な解析プログラムによって元のパスワードを特定され、他社サービスへの不正ログインを試みる「パスワードリスト型攻撃」に悪用されるリスクが残るため注意が必要です。

流出情報を悪用した「なりすまし詐欺」の動向と具体的な防衛策

こうした大規模な情報漏えい事案の後に最も警戒すべき二次被害が、流出した氏名や電話番号、メールアドレスを悪用したフィッシング詐欺やスミッシング（SMSを用いた詐欺）です。フィッシング対策協議会の月次報告書およびIPA（独立行政法人情報処理推進機構）の「情報セキュリティ10大脅威」によると、国内のフィッシング報告件数は近年年間100万件を超える高水準で推移しており、特に宅配業者やECサイト、インフラ事業者を装う手口が多数を占めています。特に正確な知識として押さえておきたいのは、佐川急便は公式の注意喚起において「ショートメッセージ（SMS）による不在通知や届け先確認の案内は一切行っていない」と明言している点です。したがって、SMSで「荷物のお届けに関する確認です」といったURL付きの連絡が届いた場合は、100%なりすまし詐欺と判断して差し支えありません。「アカウントに問題があります」等のメールやSMSが届いても記載されたリンクは絶対に開かず、必ず公式アプリや事前に登録したブックマークからアクセスしてください。あわせて、総務省の「国民のためのサイバーセキュリティサイト」でも推奨されている通り、複数サービスでのパスワードの使い回しを直ちにやめ、パスキーやワンタイムパスワードなどの多要素認証（MFA）を積極的に導入することが、自身の資産と情報を守る確実な防衛策となります。