佐川急便「スマートクラブ」で約7万人に影響のおそれ ― 原因は復旧作業の設定ミス

何が起きたのか #

佐川急便は2026年7月18日、会員制Webサービス「スマートクラブ」の配達予定通知メールで、利用者本人の画面に別の利用者の氏名・メールアドレス・お問い合わせ送り状Noが表示される事象が発生していたと公表した。発生は7月15日夕方頃、影響を受けた可能性がある会員は約7万人に上るという。住所やクレジットカード情報は対象に含まれていないが、氏名とメールアドレスの組み合わせだけでも十分にフィッシングの足がかりになり得る情報だ。

原因は「攻撃」ではなく「復旧作業のミス」 #

同社の調査によれば、第三者による不正アクセスやサイバー攻撃は確認されておらず、原因はスマートクラブのシステム不具合に対する復旧作業を行った際、通知メールの設定に誤りが生じたことだったという。つまり平時の防御網をすり抜けた攻撃ではなく、障害対応という「非日常のオペレーション」の中で人為的なミスが起きたパターンだ。

セキュリティ現場でよく語られる教訓の一つに「インシデント対応がインシデントを生む」というものがある。緊急の復旧作業は通常のリリースフローよりレビューが省略されがちで、設定変更がそのまま本番に反映されることも多い。元となった「システム不具合」自体の内容は非公表だが、復旧作業の過程でメールテンプレートや宛先バインディングのロジックに誤りが混入し、本来は利用者ごとに個別化されるべき通知内容が別人のものと入れ替わって送信された可能性が高い。典型的なIDOR(Insecure Direct Object Reference)的な事故の構造とも言える。

公表までの経緯と教訓 #

事象確認は7月15日、公表は7月18日と、社内調査・原因特定に3日を要している。対象者への個別通知は「順次」実施中で完了時期は明示されておらず、実際に閲覧された件数や送信通数の内訳も非公表のままだ。

事業者にとっての教訓は明確だ。緊急の復旧作業ほど変更管理の複数人レビューを省略しないこと、復旧完了後にサンプル通知の内容チェックなど自動検証を挟むこと、宛先とペイロードの不一致といった異常な配信パターンを平時から検知できる仕組みを持つこと。不正アクセスがなくても「個人情報保護法上の漏えい」に該当し得る点は、開発・運用チームが日頃から意識すべきポイントだろう。