「通販サイトで『クロネコ代金後払い』を選んだことがあるけれど、自分も対象？」「ヤマトから連絡は来る？」「最近届く不審なSMSや電話は関係ある？」と気になっている方に向けて、ヤマト運輸の公式発表に書かれていることだけを整理しました。内容は、ヤマトホールディングスの「重要なお知らせ」に2026年10月16日に掲載された【第4報】と、9月29日の初報・10月2日の第2報・10月9日の第3報の原文を、2026年10月18日に確認したものです。公式発表に書かれていないことは「公式発表に記載なし」と明記しています。
【結論】ヤマト運輸は2026年10月16日の第4報で、9月28日に不正アクセスを受けた「クロネコ代金後払いサービス」について、調査の結果「一部の情報が不正に持ち出されたことが判明」したと公表しました。
- 利用者の情報（氏名・住所・電話番号・メールアドレス・商品明細・社内管理用情報）が約526万件（うちメールアドレスを含むものは約49万件）、お届け先の情報が約5万件、加盟店の情報が約4,100件。クレジットカード情報・パスワード情報は含まれない
- 対象者には順次個別に連絡するとしている。登録情報の変更などで個別の連絡が難しい人は、第4報の公表をもって通知とする。自分が対象かを調べる照会ページの案内はない
- 問い合わせ先は第4報ではメール（scmail2@kuronekoyamato.co.jp）。第3報では、利用者向けにお問い合わせフォームと電話 0570-666-775（9:00〜18:00、土日祝日を除く）も案内している
ほかの企業の公表も含めた全体像は、2026年 国内の情報漏えい・サイバー攻撃 一覧（毎日更新）にまとめています。
自分は対象？公式発表でわかること早見表
「クロネコ代金後払いサービス」は、第2報の説明では「通販サイトで注文した商品を先に受け取った後、払込票やスマートフォンに届く通知から、後日コンビニなどで代金をお支払いいただけるサービス」です。宅急便そのものではなく、通販サイトの支払い方法の一つとして使われているサービスです。第4報が対象について書いているのは、次の範囲です。
| 知りたいこと | 公式発表（第4報）に書かれていること |
|---|---|
| 対象になり得る人 | 「クロネコ代金後払いサービス」を利用した一部のお客さま、その一部のお客さまのお届け先、一部の加盟店（このサービスを導入している通販事業者） |
| 利用した時期 | 利用者の情報は2018年10月1日から2026年9月28日まで。お届け先の情報は2021年2月5日から2026年9月28日まで |
| 件数 | 利用者の情報 約526万件（うちメールアドレスが含まれる件数は約49万件）、お届け先の情報 約5万件、加盟店の情報 約4,100件。いずれも「件数」で、人数ではない |
| 対象者への知らせ方 | 「情報が不正に持ち出されたことが判明した対象の皆さまには、順次個別にご連絡させていただきます」。連絡の手段（メール・郵送・電話など）は公式発表に記載なし |
| 連絡が届かない場合 | 「登録情報の変更などにより個別のご連絡が難しい方につきましては、誠に恐れ入りますが本報告をもって通知とさせていただきます」。連絡が届いていない人が対象外かどうかは公式発表に記載なし |
| 自分が対象かを調べるページ | 公式発表に記載なし（照会ページの案内はない） |
| 宅急便だけを使った人 | 初報は「宅急便を含む他のサービスは、通常どおりご利用いただけます」としている。第4報の対象範囲は「クロネコ代金後払いサービス」に関わる情報として示されており、宅急便だけの利用者についての個別の言及は公式発表に記載なし |
| 問い合わせ先 | 第4報：EMAIL scmail2@kuronekoyamato.co.jp。第3報：利用者向けにお問い合わせフォームと TEL 0570-666-775（受付時間 9:00〜18:00、土日祝日を除く）、加盟店向けに決済サービス カスタマーサービスセンター（次の節） |
第4報は、ヤマトホールディングス「【第4報】「クロネコ代金後払いサービス」への不正アクセスに関する調査結果と今後の対応について」として、同社サイトの重要なお知らせに掲載されています。初報・第2報・第3報は、第4報のページ下部「過去のお知らせ」からPDFで読めます。
問い合わせ窓口（公式発表の記載どおり）
10月16日の第4報の【お問い合わせ先】に書かれているのはメールアドレスだけです。電話番号は、10月9日の第3報に、立場ごとに分けて書かれています。
| 立場 | 窓口 | 掲載された発表 |
|---|---|---|
| 本件に関するお問い合わせ全般 | EMAIL scmail2@kuronekoyamato.co.jp | 初報・第2報・第3報・第4報 |
| クロネコ代金後払いサービスを利用している方 | クロネコ代金後払いサービス お問い合わせフォーム、TEL 0570-666-775（受付時間 9:00〜18:00、土日祝日を除く） | 第3報 |
| クロネコ代金後払いサービスの加盟店 | 決済サービス カスタマーサービスセンター。フリーダイヤル 0120-69-5090（受付時間 9:00〜18:00、土日祝日を除く）、EMAIL payment@kuronekoyamato.co.jp | 第3報 |
利用者向けのお問い合わせフォームには、2026年10月18日の確認時点で「現在、お問合せが集中しております。そのため、回答までお日にちがかかる見込みです」と表示されていました。0570-666-775 は、第2報に載っている払込票の見本でも「後払いカスタマーセンター」の番号として印刷されています。0570から始まる番号の通話料の仕組みは0570から始まる電話番号は何？（ナビダイヤルの料金）で整理しています。
窓口のメールアドレスやフォームは、届いたメールやSMSのリンクからではなく、ヤマトホールディングスの公式サイトの第4報・第3報から開くのが確実です。
何が持ち出された？公表された項目と件数
第4報は「不正に持ち出された情報と対象範囲」を次の3つに分けて書いています。
| 区分 | 情報項目（第4報の記載どおり） | 対象期間 | 件数 |
|---|---|---|---|
| 「クロネコ代金後払いサービス」を利用された一部のお客さま情報 | 氏名、住所、電話番号、メールアドレス、商品明細（商品名、数量、単価など）、社内管理用情報（申込番号、受注日、与信番号など） | 2018/10/1から2026/9/28 | 約526万件（メールアドレスが含まれる件数は約49万件） |
| 「クロネコ代金後払いサービス」を利用された一部のお客さまのお届け先情報 | お届け先の氏名、住所、電話番号、送り状番号 | 2021/2/5から2026/9/28 | 約5万件 |
| 「クロネコ代金後払いサービス」の一部の加盟店さま情報 | 加盟店名、社内管理用情報（加盟店コード） | 2018/10/1から2026/9/28 | 約4,100件 |
第4報は「※クレジットカード情報、パスワード情報は含まれておりません」としています。また、「第2報でお知らせしておりました「請求金額」「債権残高」および「当社社員の氏名」につきましては、調査の結果、不正な持ち出しは確認されませんでした」と書いています。
第2報の「漏えいした可能性」と第4報の「持ち出しが判明」の違い
10月2日の第2報は、「情報の一部が漏えいした可能性があることが判明した」として、「漏えいした可能性がある主な情報」を挙げていました。利用者の情報は「氏名、住所、電話番号、メールアドレス、与信番号、請求金額、債権残高、商品明細」、ほかに加盟店名・加盟店コードと、サービスを担当する社員の氏名です。件数は書かれておらず、「漏えいの可能性がある情報と範囲については、引き続き調査を進めております」としていました。
10月16日の第4報では、セキュリティ専門機関の協力を得た調査の結果として「一部の情報が不正に持ち出されたことが判明」したと書き方が変わり、件数と対象期間が示されました。一方で、第2報にあった請求金額・債権残高・社員の氏名は、持ち出しが確認されなかった項目として外れています。第2報の時点で「可能性がある」とされていた項目と、第4報で「持ち出された」とされた項目は同じではない点に注意してください。
持ち出された項目ごとに気をつけたい連絡
第4報は「現時点で本件で持ち出された情報が不正利用されたことによる二次被害は確認されておりません」としたうえで、「「差出人や件名に心当たりのない不審なメール・SMSが届いた」「不審な電話がかかってきた」といったお問い合わせをいただいております」と書いています。項目ごとに整理すると次のとおりです（「公式」と書いたもの以外は一般的な注意点です）。
| 持ち出された項目 | 考えられる連絡 | 注意すること |
|---|---|---|
| メールアドレス（約49万件に含まれる） | 心当たりのない不審なメール（公式） | メール内のURLにアクセスせず、添付ファイルを開かず、メール自体を直ちに削除する（公式の依頼） |
| 電話番号 | 不審なSMS・電話（公式） | SMSのURLは開かない。不審な電話には慎重に対応する（公式の依頼）。心当たりのない番号には出ない・折り返さない |
| 氏名・住所 | 名前や住所を書いて本物らしく見せる連絡・郵便物（郵便物は公式が言及） | 名前や住所が合っていても、本物とは限らないと考える |
| 商品明細・申込番号・受注日・送り状番号 | 実際の買い物や荷物の情報を示して信用させようとする連絡 | 注文内容や伝票番号が合っていても、その場で支払いや個人情報の入力に応じない。公式サイトや公式アプリから自分で確かめる |
ヤマト運輸を名乗るメール・SMSについての公式の注意喚起
第3報・第4報は、参考としてヤマト運輸「ヤマト運輸の名前を装った「迷惑メール」が多発しています」を挙げています。このページは、次のような連絡をヤマト運輸から「Eメール（またはショートメール）でお送りすることはございません」としています。
- 「住所不明のため配達できない」等の住所確認を求めるお知らせ
- 受け取り日時の変更や再配達のご依頼に関する請求を求めるご連絡
- ショートメールによるご不在連絡やお届け予定のお知らせ
同じページは、「当社の公式メールは、「～@kuronekoyamato.co.jp」のドメインを使用していますが、このドメインを装った迷惑メールも確認されています」とし、メールアドレスだけでは見分けにくいと注意しています。URLをクリックしてしまった場合も「クレジットカード情報などの入力を求められても、絶対に入力しないよう」求めています。警察庁も「電子メールやＳＭＳ内のリンクを安易にクリックせず、あらかじめ公式サイトを「お気に入り」や「ブックマーク」に登録しておいたり、公式アプリを活用するなどして正しいサイトに接続するようにしてください」としています（警察庁「フィッシング対策」）。
ヤマト運輸を名乗る電話についての公式の注意喚起
今回の件とは別に、ヤマトホールディングスの重要なお知らせにはヤマト運輸「ヤマト運輸を装った「不審な電話」にご注意ください」（2026年8月14日）も掲載されています。このページは次のように書いています。
- 「弊社から国際番号（「+」で始まる番号）を用いた自動音声で、お客さまに荷物や料金などに関するご連絡（発信／架電）をすることは一切ありません」
- 「荷物の確認のために指定場所に来るようにご案内することは一切ありません」
- 「荷物をお届けするために生年月日や口座番号などを確認することは一切ありません」
手口の例として、「+」で始まる番号から自動音声で「1」を押すよう案内し、偽のオペレーターにつないで個人情報を聞いたり、電子マネーでの支払いや振り込みを求めたりするもの、肉声で「荷物に違法物が入っている」などと言って住所・氏名・生年月日などを聞くものが挙げられています。ヤマト運輸を装った不審な電話がかかってきた場合は「すぐに電話を切るように」としています。不審な電話の相談先は、同ページではサービスセンター（0570-200-000）です。
「+」で始まる番号や、見慣れない桁数の番号の見分け方は電話番号の桁数一覧（10桁・11桁・12桁・13桁の見分け方）、宅配や郵便を名乗る自動音声の例は97から始まる電話番号はどこ？（日本郵便を名乗る自動音声の例も）、検索しても出てこない番号の調べ方は迷惑電話番号の検索・調べ方にまとめています。うっかり出てしまった・折り返してしまった場合は国際電話に出てしまったときの対処法、海外からの着信を止めたい場合は国際電話の着信拒否と国際電話不取扱受付センターの申し込み手順を参考にしてください。
今やること（公式の案内と一般的な対策）
公式が案内していること（順番に）
ヤマト運輸の第2報〜第4報から、利用者がすることを順に並べると次のとおりです。
- 不審なメール・SMSは開かずに削除する：「不審なメールやSMSを受信した場合は、メール内に記載されたアドレス（URL）へのアクセスや添付ファイルの開封は行わず、メール自体を直ちに削除していただくようお願いいたします」（第4報）
- 不審な電話・郵便物には慎重に対応する：「不審な電話や郵便物を受けた際には、慎重な対応をお願いいたします」（第4報）
- 手元の払込票の支払い期限を確認する：サービス停止期間を考慮し、2026年9月28日以降に支払い期限を迎える払込票は、支払い期限が17日間延長されています（第3報。例：払込票の「お支払期限日」が2026年10月1日なら、変更後は10月18日）
- わからないことは公式の窓口へ：利用者はお問い合わせフォームか 0570-666-775（第3報）、本件全般は scmail2@kuronekoyamato.co.jp（第4報）
一般的な対策（公式の案内ではないもの）
以下は公式発表の案内ではなく、氏名・住所・電話番号・メールアドレスなどが持ち出された場合に一般的に取られる対策です。
- 「個別連絡」を名乗るメールやSMSのリンクから手続きしない：対象者への個別連絡の手段は公式発表に書かれていません。届いた連絡が本物か気になる場合は、リンクを開かず、ヤマトホールディングスの公式サイトの第4報から窓口を開いて確かめる
- 荷物の状況は公式アプリや公式サイトで確かめる：送り状番号が書かれた連絡が届いても、そのリンクではなく、自分で開いた公式サイト・公式アプリで確認する
- 「補償」「返金」「未払い」を名乗る連絡に応じない：公式発表には補償の案内はありません（次の章を参照）。電話やSMSで電子マネーでの支払いや振り込みを求められても応じない
- 通販サイトのパスワードの使い回しを見直す：今回の持ち出しにパスワード情報は含まれていませんが、メールアドレスが知られた場合に備え、同じパスワードを複数のサービスで使っているなら別々にしておく（考え方はパスワード流出の真相と安全対策）
補償・お詫びはある？
第4報には「お客さまをはじめ関係する皆さまに多大なるご迷惑とご心配をおかけしておりますことを、深くお詫び申し上げます」というお詫びの文言があります。一方で、補償・お詫びの金券などの記載はありません（2026年10月16日の第4報、初報・第2報・第3報とも記載なし）。第3報にある支払い期限の17日間延長は、サービス停止期間を考慮した措置として書かれています。
「補償の手続き」「返金」などを理由に個人情報や口座番号、カード番号を入力させようとする連絡が届いても、本文のリンクから情報を入力しないでください。個人情報の取り扱いに関する事業者への苦情や、個人情報保護法の制度についての質問は、個人情報保護委員会「個人情報保護法相談ダイヤル」（03-6457-9849・9:30〜17:30、土日祝日と年末年始を除く）でも受け付けています。
経緯・原因と公表の履歴
原因について、公式発表は「第三者による不正アクセス」と書いています。どのような方法でアクセスされたか（脆弱性の有無など）は、第4報時点で公表されていません。第4報は、不正アクセスの確認後に「速やかに外部からのアクセスを制限するなど必要な対策を講じるとともに、個人情報保護委員会への報告を行っております」としています。今後については「すでに実施済みのセキュリティ対策に加え、外部専門機関の助言のもと、今後実施する中長期的な対策を通じて情報セキュリティ体制の強化を推進してまいります」としています。
| 日付 | 公表・出来事 |
|---|---|
| 2026年9月28日（月） | 「クロネコ代金後払いサービス」が第三者による不正アクセスを受けたことを確認。外部からのアクセス制限などの対策をとり、同日22時28分にサービスを停止 |
| 2026年9月29日 | 初報「「クロネコ代金後払いサービス」への不正アクセスの発生について」。原因と影響範囲を調査中。宅急便を含むほかのサービスは通常どおり利用できると案内 |
| 2026年10月2日 | 第2報。「情報の一部が漏えいした可能性があることが判明」。可能性がある主な情報として、利用者の氏名・住所・電話番号・メールアドレス・与信番号・請求金額・債権残高・商品明細、加盟店名・加盟店コード、担当社員の氏名を公表。件数は記載なし。不審なメール・SMS・電話・郵便物への注意を依頼 |
| 2026年10月9日 | 第3報。13:00にサービスを再開。9月28日以降に期限を迎える払込票の支払い期限を17日間延長。窓口を立場別（利用者・加盟店・本件全般）に案内 |
| 2026年10月16日 | 第4報。調査の結果「一部の情報が不正に持ち出されたことが判明」。利用者の情報 約526万件（うちメールアドレスを含む 約49万件）・お届け先の情報 約5万件・加盟店の情報 約4,100件。クレジットカード情報・パスワード情報は含まれない。請求金額・債権残高・社員の氏名は持ち出しが確認されず。対象者へ順次個別に連絡 |
2026年10月18日に、ヤマトホールディングスの重要なお知らせの一覧を確認した時点では、第4報（10月16日）より後の続報は掲載されていませんでした。
ほかの事案（同じ時期に公表された情報漏えい）
同じ10月16日に公表があった事案はショップサーブの情報漏えい（店舗とカード情報）やファンケル・アテニアの情報漏えい（漏れた項目）、通販の購入者情報が対象になった事案はアエナの情報漏えい（閲覧された項目）でも、公式発表をもとに整理しています。そのほかの事案は2026年 国内の情報漏えい・サイバー攻撃 一覧で確認できます。
よくある質問
クロネコ代金後払いを使ったことがあります。自分が対象か確認する方法はありますか？
A. 自分が対象かを調べる照会ページの案内はありません。ヤマト運輸の第4報（2026年10月16日）では、情報が不正に持ち出されたことが判明した対象者に順次個別に連絡するとしています。登録情報の変更などで個別の連絡が難しい人は、第4報の公表をもって通知とするとしています。確認したい場合は、第3報で案内されているお問い合わせフォームか 0570-666-775（9:00〜18:00、土日祝日を除く）、または本件全般の窓口 scmail2@kuronekoyamato.co.jp へ問い合わせてください。
どの期間に使った人が対象ですか？
A. 第4報によると、利用者の情報は2018年10月1日から2026年9月28日まで、お届け先の情報は2021年2月5日から2026年9月28日までが対象期間です。この期間に利用した「一部のお客さま」の情報とされており、期間内に使った人がすべて対象とは書かれていません。
クレジットカード番号やパスワードは漏れましたか？
A. 第4報は、持ち出された情報にクレジットカード情報、パスワード情報は含まれていないとしています。持ち出されたのは、氏名、住所、電話番号、メールアドレス、商品明細、社内管理用情報（申込番号、受注日、与信番号など）、お届け先の氏名・住所・電話番号・送り状番号、加盟店名・加盟店コードです。
第2報にあった請求金額や債権残高も漏れたのですか？
A. 第4報は、第2報で漏えいした可能性がある情報として挙げた「請求金額」「債権残高」「当社社員の氏名」について、調査の結果、不正な持ち出しは確認されなかったとしています。
ヤマト運輸を名乗るSMSや電話が来ました。どうすればいいですか？
A. 第4報は、不審なメールやSMSはURLにアクセスせず添付ファイルも開かずに直ちに削除し、不審な電話や郵便物には慎重に対応するよう求めています。ヤマト運輸は、ショートメールでの不在連絡やお届け予定のお知らせを送ることはなく、「+」で始まる国際番号の自動音声で荷物や料金の連絡をすることもないとしています。不審な電話の相談先は、同社の注意喚起ページではサービスセンター（0570-200-000）です。
まとめ
- ヤマト運輸は2026年10月16日の第4報で、9月28日に第三者による不正アクセスを受けた「クロネコ代金後払いサービス」について、一部の情報が不正に持ち出されたことが判明したと公表した
- 利用者の情報 約526万件（2018年10月1日〜2026年9月28日・うちメールアドレスを含む 約49万件）、お届け先の情報 約5万件（2021年2月5日〜）、加盟店の情報 約4,100件。クレジットカード情報・パスワード情報は含まれない
- 第2報で可能性があるとされた請求金額・債権残高・社員の氏名は、持ち出しが確認されなかった
- 対象者には順次個別に連絡。照会ページはなく、問い合わせは利用者向けフォーム・0570-666-775（第3報）か scmail2@kuronekoyamato.co.jp（第4報）へ
- 不審なメール・SMSは開かずに削除、不審な電話・郵便物には慎重に対応。補償の記載はない
この記事は、2026年10月16日の第4報までの公式発表の情報（2026年10月18日確認）で書いています。続報が出た場合や内容が更新された場合は、ヤマトホールディングスの重要なお知らせを優先してください。
出典
- ヤマトホールディングス「【第4報】「クロネコ代金後払いサービス」への不正アクセスに関する調査結果と今後の対応について」（2026年10月16日・2026年10月18日確認）
- 初報「「クロネコ代金後払いサービス」への不正アクセスの発生について」（PDF）（2026年9月29日）／【第2報】（PDF）（2026年10月2日）／【第3報】「クロネコ代金後払いサービス」再開のお知らせ（PDF）（2026年10月9日）
- ヤマトホールディングス「重要なお知らせ」（続報の有無を2026年10月18日に確認）
- ヤマト運輸の名前を装った「迷惑メール」が多発しています（2025年8月26日）／ヤマト運輸を装った「不審な電話」にご注意ください（2026年8月14日）
- 警察庁「フィッシング対策」／個人情報保護委員会「個人情報保護法相談ダイヤル」
コメント