ヤマト運輸の「クロネコ代金後払いサービス」への不正アクセスで、2018年10月1日から2026年9月28日までに利用した人の情報約526万件が持ち出された。ヤマトホールディングスが10月16日の第4報で、調査結果として公表した。氏名や住所に加え、何を何個買ったかという商品の明細も含まれている。
ヤマトホールディングス 10月16日 第4報 (持ち出された情報の項目・期間・件数・カード情報の扱い・個別連絡・不審な連絡への注意)ヤマトホールディングス株式会社
8年分の後払いの記録だ。ネット通販で支払い方法に「後払い」を選んだことがあるなら、自分が対象かもしれない。そして、使った覚えがなくても、荷物の届け先として名前が載っている場合がある。
持ち出された3つのまとまり
第4報によると、ヤマト運輸は9月28日に不正アクセスを確認し、外部からのアクセスを制限して個人情報保護委員会に報告した。セキュリティ専門機関の協力を得て調べた結果、持ち出された情報は次の3つだった。
- サービスを利用した人の情報: 約526万件 (2018年10月1日から2026年9月28日の分)。氏名、住所、電話番号、メールアドレス、商品の明細 (商品名、数量、単価など)、申込番号や受注日などの管理用の情報。メールアドレスを含むのは約49万件
- 利用した人が指定したお届け先の情報: 約5万件 (2021年2月5日から2026年9月28日の分)。お届け先の氏名、住所、電話番号、送り状番号
- 加盟店の情報: 約4100件。加盟店名と加盟店コード
クレジットカード情報とパスワードは含まれていない。10月2日の第2報で挙げていた「請求金額」「債権残高」と「当社社員の氏名」は、調査の結果、持ち出しは確認されなかったという。二次被害も、いまのところ確認されていない。
サービスは9月28日から止まっていたが、10月9日の13時に再開した。
買ったものまで知られている連絡
この漏えいで目を引くのは、商品の明細が入っていることだ。名前と住所に、いつ何を買ったかが結びつくと、「ご購入いただいた○○の代金について」と、本人しか知らないはずの買い物に触れる連絡が作れる。
ヤマトには、心当たりのないメールや SMS が届いた、不審な電話がかかってきた、という問い合わせがすでに寄せられているという。同社は、不審なメールや SMS の URL を開かず、添付ファイルも開かずに削除するよう呼びかけ、電話や郵便物にも慎重に対応するよう求めている。ヤマト運輸の名前を装った迷惑メールは、以前から多発している。
後払いは、商品を受け取ってから払込票で代金を払う仕組みだ。だからこそ「未払いの代金があります」「支払い期限が過ぎています」という連絡は、本物の後払いの手順とよく似て見える。
対象かどうかを確かめる手順
ヤマトは、持ち出しが確かめられた人に順次、個別に連絡するとしている。登録情報が変わっていて連絡が難しい人には、第4報の公表をもって通知に代えるという。つまり、引っ越しやメールアドレスの変更をした人には、知らせが届かない場合がある。
会員の側でできることを並べておく。
- ネット通販の購入履歴で、支払い方法が「後払い」になっている買い物がないかを見る。あれば、その店の支払い方法の説明で、後払いの決済が「クロネコ代金後払い」かどうかを確かめる
- 手元にある払込票の期限を見る。サービス停止を受けて、9月28日以降に期限を迎える払込票は、期限が17日間延びている (10月1日期限なら10月18日まで)
- 代金の催促や購入内容の確認を名乗る連絡には、リンクから払わない。払込票か、ヤマトの重要なお知らせのページで突き合わせる
- 問い合わせは、第3報にある利用者向けの窓口 (0570-666-775・平日9時から18時) や問い合わせフォームで受け付けている
手間がかかるのは、8年分の記憶をたどる必要があることだ。どの店で後払いを選んだかを、すべて覚えている人は少ないだろう。分からないまま残る部分があることも、前提にしておきたい。
次に見るのは、ヤマトホールディングスの「重要なお知らせ」のページだ。第1報から第4報まで並んでおり、調査や対応に動きがあれば、まずそこに載る。
ことば
- クロネコ代金後払いサービス — ヤマト運輸が通販の加盟店向けに提供する後払いの決済。利用者は商品を受け取ったあと、届いた払込票で代金を払う。
- 送り状番号 — 荷物ごとに振られる追跡用の番号。配送状況の確認に使われる番号なので、知られていると、配達や不在の連絡らしく見せる材料になりうる。
後払いを選ぶとき、あなたはその代金を誰に払っているのかを意識していただろうか？
