ヤマト運輸と日経新聞の情報漏えい、531万件と183万件

2026年10月16日、ヤマト運輸は後払い決済サービスから約531万件、日本経済新聞社（日経）は開発用クラウドから約183万件の情報が漏えいしたと発表しました。

2026年10月17日3 分で読めます

他の言語で読む:原文（英語）Deutsch日本語Français Español Português

黄色の黒猫マーク「クロネコ」のロゴが入った、ヤマト運輸の白い電気配送トラック2台が、並木道に停められています。 — 写真: Syced / Wikimedia Commons, CC0

数字で見る

records taken from Yamato's pay-later service: 5.31M
records leaked from Nikkei's development cloud: 1.83M
Nikkei records with names or contact details: ~150,000
credit card numbers leaked, both firms say: 0

2026年10月16日、日本の大手企業2社が新たに、情報漏えいの件数を明らかにしました。配送会社のヤマト運輸は、後払い決済サービスから約531万件の情報が盗まれたと発表しました。新聞を発行する日本経済新聞社（日経）は、ソフトウェア開発に使っているクラウドサービスから約183万件の情報が漏えいしたと発表しました。どちらの事例も、日本企業への攻撃が続くこの1か月に加わるものです。そしてどちらも、古いデータを残しておくことの代償を示しています。

ヤマト運輸：531万件

ヤマト運輸は、ネット通販の利用者が購入代金を後から支払える「クロネコ代金後払い」サービスを運営しています。同社は9月28日にこのサービスへの不正アクセスを把握し、その夜にサービスを停止して、9月29日に問題を公表しました。サービスは10月9日に再開しました。ITmedia NEWSによると、10月16日の4回目の報告で、件数の合計が示されました。

対象	件数（約）	盗まれた情報
購入者（2018年10月1日から2026年9月28日まで）	526万件	氏名、住所、電話番号、商品の詳細、申込番号、社内管理用データ。約49万件はメールアドレスも
お届け先（2021年2月5日以降）	5万件	氏名、住所、電話番号、送り状番号
サービスを利用する加盟店	4,100件	加盟店名とコード

ITmediaによると、クレジットカード情報とパスワードは含まれていませんでした。同社は以前、従業員の氏名が漏えいした可能性があると伝えていましたが、調査ではそれは確認されませんでした。攻撃者がどのように侵入したかは、明らかにしていません。

時事通信によると、ヤマト運輸は顧客からの問い合わせに対応するため、購入者のデータを一定期間保管していました。購入者の記録は、約8年前の2018年10月までさかのぼります。顧客からは不審なメール、SMS、電話の報告が寄せられていますが、盗まれたデータの不正利用は確認されていません。

日本経済新聞社：開発用クラウドから183万件

日経によると、10月7日未明、システム開発に使っているクラウドサービスに攻撃者が侵入しました。同社自身のお知らせによると、このクラウドのログイン情報は「何らかの方法で」盗まれました。同社は、盗まれた認証情報を無効にしました。

183万件のうち約15万件には、氏名、メールアドレス、住所、電話番号、生年月日のうち、少なくとも1つが含まれます。そのうち約12万件には、メールアドレスが含まれます。INTERNET Watchによると、残りの168万件は、それだけでは個人を特定できない識別子のみです。

日経によると、クレジットカード情報は含まれていませんでした。同社は10月11日、日本の個人情報保護の監督機関である個人情報保護委員会に漏えいを報告しました。10月16日時点で、データの不正利用、システム障害、改ざんは、いずれも確認されていません。

日経にとって、今月の問題はこれが初めてではありません。ITmediaによると、同社は10月4日、乗っ取られた従業員のアカウントから約9,000通の偽メールが送信されたと公表しました。

広がる公表の波

日本政府は、20社を超える企業が攻撃を報告したことを受け、10月9日にサイバー攻撃への警戒を強めました。この2社の前日には、日本でバーガーキングを運営する企業が、アプリの会員情報1,118万件の漏えいを公表しています。

時事通信は同じ記事の中で、最近のほかの事例も挙げています。

タイムズカー： 約660万件。そのうち約160万件には、運転免許証などの身分証の画像が含まれていました。親会社のパーク24は、保管している身分証の画像を10月末までに削除するとしています。今後は、会員の本人確認が済んだらすぐに削除するとのことです。
ファンケルと子会社のアテニア： 約83万件の会員情報。
日本郵便： 国際郵便の追跡調査サービスの利用者約600人の氏名と住所。

開発者にとっての意味

開発用クラウドに実際の個人データを置かないこと。 日経の漏えいは、ソフトウェア開発に使われるシステムから起きました。テスト環境や開発環境では、架空のデータやマスキングしたデータを使ってください。
クラウドの認証情報を正面玄関として扱うこと。 日経に侵入した攻撃者は、盗んだ認証情報でログインしました。有効期間の短いキー、多要素認証によるログイン、新しい場所からのログインに対するアラートを使ってください。
保存期間の上限を決め、それを守ること。 ヤマト運輸の漏えいは8年分の購入者に及び、タイムズカーは会員が退会してから何年も身分証の画像を保管していました。不要になったデータは、計画的に削除してください。
確認が済んだら身分証の画像を削除すること。 パーク24の新しいルールは、標準とするのに適しています。本人確認が済めば、免許証の画像にそれ以上の用途はなく、一方で犯罪者にとっては高い価値があります。
続いて起きる詐欺に顧客が備えられるようにすること。 氏名、住所、電話番号、注文内容がそろえば、もっともらしい偽メッセージが作れます。攻撃者が電話をかけ始める前に、自社が決して尋ねないことをユーザーに伝えてください。