佐川急便は10月23日、「お荷物問い合わせサービス」への不正アクセスの第5報を出し、流出した可能性のある個人情報は現時点で最大約5,323万件だと発表した。対象には6月21日から9月30日までの約100日間に預かった荷物の送り状が含まれ、依頼主とお届け先の氏名・住所・電話番号が入っている。
この数字は重複を含み、対象者の実人数ではない。それでも、通販で買った物を佐川急便で受け取っただけの人も、お届け先として名前と住所が載っている。自分で佐川急便を選んだ覚えがなくても、対象に入りうるということだ。
5,323万件の中身
流出の可能性がある情報は3種類に分かれる。
- 送り状データ (6月21日〜9月30日): 依頼主とお届け先の氏名、住所、電話番号
- 運賃契約を結んでいる顧客の契約者情報: 氏名、住所、電話番号
- Web サービス「スマートクラブ」の会員情報: 氏名、住所、電話番号、メールアドレス、会員ID
クレジットカード情報とパスワードは含まれていない。手書きの送り状で預かった荷物も対象外だ。法人の荷物でも、担当者名のように個人が分かる情報は件数に入っている。
佐川急便は、区分ごとの件数を出していない。同じ人の情報が何度も含まれ、表記の揺れもあって、実人数を正しく示せないためだという。公表した件数は、すべてが実際に外へ出たと確かめた数でもない。重複の整理は続いている。現時点で、不正利用などの二次被害は確認されていない。
9月30日の発覚から、サービス再開まで
不正アクセスが見つかったのは9月30日午前7時30分。佐川急便は10月1日正午にインターネット貨物システムへの外部からのアクセスを遮断し、同じ日に個人情報保護委員会へ速報した。
10月23日には、止めていたお荷物問い合わせサービスを再開した。一方で、問い合わせの API、飛脚宅配便や往復便の受付、受取先の変更、商品回収返金サービス、回収くんなどは引き続き止まっている。荷物の集荷と配達は続いている。
対象かどうか、どう分かるか
佐川急便は、対象の可能性がある人に順次案内するとしている。ただし個別の案内が難しい人については、今回のお知らせの公表をもって通知に代えるという。つまり、連絡が来ないことは対象外の証明にならない。
6〜9月に通販やフリマで荷物を受け取った、贈り物を送った、という覚えがあれば、氏名・住所・電話番号の組み合わせは相手に渡った前提で動くほうが現実的だ。佐川急便は、同社を装った不審なメール・SMS・電話に注意し、記載の URL を開かず、個人情報を入力しないよう求めている。宅配業者をかたる不在通知の SMS は、もともと多い手口だ。住所と名前を知っている相手からなら、なおさら本物らしく見える。
問い合わせは、専用のチャットか専用コールセンター (0120-28-3449、午前9時〜午後5時、土日祝日を含む) で受け付けている。
次に確かめたいのは、佐川急便のお知らせページで、重複を整理したあとの対象者数と個別案内の進み方が示されるかどうかだ。止まっている受付サービスの再開日も、同じページで告知される。
ことば
- 送り状 — 荷物に貼る伝票。依頼主とお届け先の氏名・住所・電話番号が書かれ、通販の注文ではお店が依頼主、買った人がお届け先になる。
- 名寄せ — 同じ人の情報が重複している記録を、一人分にまとめる作業。佐川急便はこの作業の途中で、5,323万件は重複を一定程度整理した段階の数字だとしている。
この夏に受け取った荷物の送り状に、あなたの名前と電話番号はいくつ載っていただろうか？
