日本郵便は2026年11月5日、一部の荷物の集荷・配達業務を委託しているCBcloudの配車システム「ピックゴー」が第三者による不正アクセスを受け、顧客の氏名が漏えいしたと発表した。漏えいしたのは姓名1,672件と姓のみ2,091件の計3,763件で、住所や電話番号は含まれていないとしている。ピックゴーへの不正アクセスをめぐっては、セブン‐イレブン・ジャパンや出前館も影響を公表している。
11月1日に不正アクセス、4日に日本郵便分の漏えいが判明
日本郵便の発表によると、経緯は次のとおりである。
- 11月1日：ピックゴーが第三者による不正アクセスを受けた
- 11月2日：日本郵便がCBcloudから第一報を受けた
- 11月4日：CBcloudの調査で、日本郵便がCBcloudに委託した一部の荷物について、顧客の情報が漏えいしたことが判明した
漏えいが確認されたのは、2025年12月から2026年3月までの期間と2026年9月に、CBcloudが集荷・配達を担当した荷物に関する、一部の顧客の氏名である。
漏えいしたのは氏名のみ、不正利用は確認されず
漏えいした情報は、顧客の氏名（姓名）1,672件と、姓のみ2,091件である。住所や電話番号など、そのほかの情報は含まれていない。
現時点で、この件に起因する不正利用は確認されていない。日本郵便は、対象の顧客に書面などで個別に連絡するとしており、個人情報保護委員会にも報告済みである。
CBcloudは不正アクセスを確認した後、すぐに不正アクセス元からの通信を遮断し、不正に使われたアカウントを停止したうえで、不正アクセスに悪用された不具合を修正した。対策の一環として、一部機能の利用と日本国外からのアクセスも制限している。
配送のプラットフォームが狙われると、影響は複数の荷主に及ぶ
ピックゴーは、荷物を運びたい企業と配送の担い手をつなぐ配車システムである。1つのシステムに多くの荷主（荷物の配送を依頼する企業）の配送情報が集まるため、そこが侵害されると、利用している複数の企業に同時に影響が及ぶことがある。今回も、小売、フードデリバリー、郵便と、業種の異なる企業が相次いで影響を公表した。
荷主の側から見ると、自社のシステムが無事でも、委託先のプラットフォームを通じて顧客情報が流れ出ることがある。配送業務を外部に委ねる企業は、委託先にどの項目を渡しているのか、その情報がいつまで残るのかを確認し、必要以上の情報を預けない設計にしておくことが、被害の範囲を抑えることにつながる。
同じ手口に、自社は備えられていますか？