クロネコ代金後払いの情報漏えい（約５２６万件）―持ち出された項目，利用者・加盟店の対応と後払い決済の仕組み（AI作成）

第１　本記事の対象と結論の要旨

１　本記事が扱う事案

本記事は，ヤマト運輸株式会社が，「クロネコ代金後払いサービス」への第三者による不正アクセスを令和８年９月２８日に確認し，利用者の情報等が持ち出された事案について，公表された事実を整理した上で，利用者と加盟店（後払い決済を導入している通販事業者）が確認すべき事項と，後払い決済の法的な仕組みを説明するものである。
事実関係は，ヤマトホールディングスの公式サイトに掲載された第１報から第４報までに基づく。
本記事の記載は，令和８年１０月２５日時点で確認できた公表資料と法令に基づく。

２　結論の要旨

①令和８年１０月１６日の第４報によれば，持ち出しが判明したのは，利用者の情報約５２６万件，お届け先の情報約５万件及び加盟店の情報約４１００件であり，利用者の情報には氏名，住所，電話番号，メールアドレスのほか，商品明細（商品名，数量，単価等）が含まれる。
②クレジットカード情報とパスワード情報は含まれておらず，第２報で漏えいの可能性があるとされた請求金額，債権残高及び同社社員の氏名は，持ち出しが確認されなかったとされている。
③個別の連絡が難しい利用者については，第４報の公表をもって通知に代えるとされており，これは個人情報保護法２６条２項ただし書の「代わるべき措置」として事案を公表する方法に当たると考えられる。
④同サービスの規約上，同社は購入者との間で立替払契約を結び，加盟店から購入者の個人情報と購入情報の提供を受けるとされている。
この仕組みを前提にすると，持ち出された利用者の情報は同社が自らの事業のために取り扱っていた個人データであり，個人情報保護委員会への報告と本人への通知は，加盟店ではなく同社の義務になると考えられる。
⑤割賦販売法の個別信用購入あっせんからは，契約の締結から２か月を超えない範囲内で定められた時期までに受領するものが除かれており，商品を受け取った後に届く払込票で１４日以内に一括して支払う同サービスの立替払いは，通常この除外に当たると考えられる。
⑥利用者が損害賠償を求める場合の慰謝料の水準は，漏えいした情報の内容，流出の範囲，実害の有無及び事業者の事後の対応によって決まり，商品明細という購入の内容が含まれる点がどう評価されるかは，個別の事情による。

第２　公表された事実関係

１　第１報から第３報まで

第１報（令和８年９月２９日）によれば，同社は，９月２８日に「クロネコ代金後払いサービス」が第三者による不正アクセスを受けたことを確認し，外部からのアクセス制限等の対策を講じるとともに，同日２２時２８分に同サービスを停止した。
宅急便を含む他のサービスは，通常どおり利用できるとされた。

第２報（同年１０月２日）は，漏えいした可能性がある主な情報として，利用者の氏名，住所，電話番号，メールアドレス，与信番号，請求金額，債権残高及び商品明細，加盟店の加盟店名及び加盟店コード並びに同サービスを担当する同社社員の氏名を挙げた。
同時に，クレジットカード情報やパスワード情報などは含まれていないとした。

第３報（同月９日）は，同日１３時に同サービスを再開したことを公表した。
サービス停止期間を考慮し，９月２８日以降に支払期限を迎える払込票については期限が延長され，例えば支払期限日が１０月１日の払込票は，同月１８日が変更後の期限とされた。

２　第４報（令和８年１０月１６日）

第４報は，セキュリティ専門機関の協力を得て調査した結果，同サービスに関わる一部の情報が不正に持ち出されたことが判明したとして，次のとおり公表した。

同報は，クレジットカード情報とパスワード情報は含まれていないこと，第２報で挙げた請求金額，債権残高及び同社社員の氏名は調査の結果持ち出しが確認されなかったこと，個人向けの「クロネコメンバーズ」等の他のサービスからの持ち出しは確認されていないことも明らかにしている。

３　二次被害と不審な連絡

第４報の時点で，同社は，持ち出された情報が不正利用されたことによる二次被害は確認されていないとしている。
他方で，心当たりのない不審なメール・ＳＭＳが届いた，不審な電話がかかってきたといった問合せがあるとして，メール内のアドレスへのアクセスや添付ファイルの開封をせず，不審な電話や郵便物にも慎重に対応するよう呼び掛けている。

第３　後払い決済の仕組み

１　立替払契約と保証

同サービスの規約によれば，同社が加盟店に商品代金等を立替払いした上で，同社から購入者に請求し，購入者はコンビニエンスストアや郵便局等で支払う。
購入者が決済方法として同サービスを選ぶと，同社は加盟店を経由して立替払契約の申込みを受けたものとして与信審査を行い，承諾を加盟店に通知した時に，同社と購入者の間に立替払契約が成立する。
購入者は，請求代金の支払について，保証会社に連帯保証を委託するとされている。
利用できる金額の上限は，累計残高で５万５０００円（税込）である。

２　割賦販売法の対象にならない理由

割賦販売法２条４項は，個別信用購入あっせんの定義から，購入者が販売業者から商品を購入する契約を締結した時から「二月を超えない範囲内においてあらかじめ定められた時期までに受領すること」を除いている。
同サービスは，通販サイトで注文した商品を先に受け取った後，払込票等で代金を支払うものであり，払込票は発行から１４日以内に支払うものとされている。
そのため，通常の利用であれば，同サービスの立替払いは同項の除外に当たり，個別信用購入あっせんには当たらないと考えられる。
クレジットカード情報が漏えいした場合の加盟店の義務は，ECサイトのカード情報漏えいと加盟店の義務―割賦販売法３５条の１６，クレジットカード・セキュリティガイドライン６．１版及び開発委託先の責任（AI作成）で整理している。

第４　個人情報保護法上の報告と本人への通知

１　報告義務を負う者

個人情報保護法２６条１項本文は，個人情報取扱事業者は，その取り扱う個人データの漏えい等であって個人の権利利益を害するおそれが大きいものとして規則で定める事態が生じたときは，個人情報保護委員会に報告しなければならないと定める。
同法施行規則７条は，不正の目的をもって行われたおそれがある当該事業者に対する行為による漏えい等（３号）や，本人の数が１０００人を超える漏えい等（４号）をその事態として挙げている。
報告は，事態を知った後速やかに行う速報と，原則として３０日以内（３号の事態は６０日以内）に行う確報に分かれる（同規則８条）。

報告義務を負うのは，原則として，漏えい等が発生し，又は発生したおそれがある個人データを取り扱う事業者である（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」３－５－３－２）。
同サービスの規約上，同社は，与信審査や債権管理等に必要な範囲で加盟店から購入者の個人情報と購入情報の提供を受けるとされ，その情報を同社の利用目的のために利用し，グループ会社と共同利用するとされている。
この前提では，持ち出された利用者の情報は同社が自らの事業のために取り扱っていた個人データであり，報告義務は同社が負うと考えられる。
第４報によれば，同社は個人情報保護委員会への報告を行っている。

２　加盟店に報告義務はあるか

個人データの取扱いの委託に伴う提供であれば，提供先は第三者に当たらず（個人情報保護法２７条５項１号，同ガイドライン３－６－３），委託先で漏えいが起きたときは，原則として委託元と委託先の双方が報告義務を負う（同ガイドライン３－５－３－２）。
ただし，委託先が報告対象の事態を委託元に通知したときは，委託先は報告義務を免れる（同法２６条１項ただし書）。
これに対し，本人の同意を得て第三者に提供した後に提供先で漏えいした場合について，個人情報保護委員会事務局と金融庁の「金融機関における個人情報保護に関するＱ＆Ａ」（令和６年３月）問Ⅴ－１０は，提供元の金融機関は漏えい等報告の義務を負わないとしている。
同Ｑ＆Ａは金融分野のものであるが，委託と第三者提供で報告義務の主体が分かれるという考え方は，通則編のガイドラインの枠組みに沿うものである。

規約によれば，後払い決済の加盟店が購入者の情報を同社に渡すのは，同社が自ら与信を行い，立替払いをして債権を管理するためであり，加盟店の業務の処理を同社に委ねるためのものとは読みにくい。
規約の仕組みを前提にすれば，加盟店から同社への情報の移転は第三者提供と整理するのが自然であり，同社の下で起きた今回の持ち出しについて，加盟店が委託元として報告義務を負う場面には当たりにくい。
もっとも，加盟店と同社との間の加盟店契約の内容は公表されておらず，個々の加盟店が自社の業務の一部を同社に委託していると評価される取扱いをしている場合は，結論が変わり得る。
加盟店としては，自社の購入者からの問合せに備えて，同社の公表内容と問合せ窓口を案内できるようにしておくことが実際的である。

委託先で漏えいが起きた場合の委託元の対応一般は，外部委託先で個人情報が漏えいした場合の委託元の対応―報告，本人通知及び委託先監督（AI作成）で扱っている。

３　本人への通知と「代わるべき措置」

個人情報保護法２６条２項は，報告対象の事態が生じた場合に本人への通知を義務付け，本人への通知が困難な場合であって，本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは，この限りでないとしている。
同ガイドライン３－５－４－５は，通知が困難な場合の例として，連絡先が古いために本人へ連絡できない場合を挙げ，代わるべき措置の例として，事案の公表と，問合せ窓口を用意してその連絡先を公表し，本人が自らの個人データが対象となっているか否かを確認できるようにすることを挙げている。
第４報は，持ち出しが判明した対象者には順次個別に連絡するとした上で，登録情報の変更などにより個別の連絡が難しい人には，本報告をもって通知とするとしている。
本人に通知する場合は，事態の状況に応じて速やかに，概要，漏えいした項目，原因，二次被害又はそのおそれの有無及びその内容等を通知するものとされている（同法施行規則１０条）。
持ち出された情報の対象期間は平成３０年１０月からと長く，登録時から住所や電話番号が変わった利用者もいる可能性がある。
個別の連絡が届かない場合でも，第３報は利用者向けの問合せ窓口を，第４報は問合せ用のメールアドレスを示しているので，自分の情報が対象となっているかは，これらに問い合わせることが考えられる。

なお，令和８年法律第５６号による改正後の同項ただし書には，本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として規則で定める場合も加わるが，この改正部分の施行日は，公布の日から起算して２年を超えない範囲内で政令で定める日とされており，本件に適用されるものではない。

第５　利用者が確認すること

１　不審な連絡への対応

持ち出された情報には，氏名，住所，電話番号に加えて，何を購入したかが分かる商品明細と，受注日，申込番号及び与信番号といった社内管理用の情報が含まれる。
実際の購入内容に触れた連絡は本物らしく見えるため，購入した商品名や申込番号が書かれていることだけで，メール，ＳＭＳ，電話又は郵便物を信用しないことが大切である。
支払は，手元に届いた払込票（ご利用明細）又は同社の正規の案内で確かめ，連絡に記載されたアドレスや電話番号からは手続をしないことが安全である。

漏えいの通知を受けた後の一般的な対処は，個人情報漏えいの通知を受けたら―流出項目別の対処，二次被害の防止と証拠保存（AI作成）で，流出した項目ごとに整理している。

２　商品明細が含まれることの意味

氏名や住所等の基本的な情報であっても，プライバシーに係る情報として法的保護の対象となる（最高裁平成２９年１０月２３日判決，平成２８年（受）第１８９２号）。
購入した商品の名称や数量は，商品によっては健康状態や趣味，家族構成等を推測させることがあり，氏名や住所だけの場合よりも秘匿の必要性が高いと評価される余地がある。
もっとも，購入した商品は利用者ごとに異なり，どの程度の精神的苦痛が認められるかは，実際に流出した商品明細の内容，二次被害の有無及び同社の事後の対応によって変わる。

３　損害賠償の見通し

氏名や住所等の基本的な情報が漏えいし，実害が確認されていない事案の認容額は，ベネッセ事件の差戻後の控訴審で１０００円（慰謝料。大阪高裁令和元年１１月２０日判決，平成２９年（ネ）第２６１２号），Ｙａｈｏｏ！ ＢＢ事件の第一審で６０００円（慰謝料５０００円，弁護士費用１０００円。大阪地裁平成１８年５月１９日判決，平成１６年（ワ）第５５９７号），宇治市の住民基本台帳データの流出事件で１万５０００円（慰謝料１万円，弁護士費用５０００円。大阪高裁平成１３年１２月２５日判決，平成１３年（ネ）第１１６５号）であった。
エステティックサロンのアンケートで提供された情報が流出した事案では，迷惑メール等の二次被害の主張立証があった原告に，慰謝料３万円と弁護士費用５０００円が認められている（東京地裁平成１９年２月８日判決，東京高裁平成１９年８月２８日判決）。
裁判例ごとの認容額と金額を左右する事情は，個人情報漏えいの慰謝料はいくらか―ベネッセ事件最高裁判決と裁判例の認容額（AI作成）で整理している。
多数の被害者が同じ事業者に請求する場合の手続については，消費者被害の集団的回復手続―共通義務確認訴訟と最高裁令和６年３月１２日判決（AI作成）も参照されたい。

第６　加盟店（通販事業者）が確認すること

１　自社の顧客への説明

持ち出された利用者の情報は，各加盟店で買物をした購入者の情報であり，加盟店名と加盟店コードも持ち出されている。
加盟店は，購入者から問合せを受ける可能性があるため，同社の公表内容，対象期間，問合せ窓口及び不審な連絡への注意喚起を，自社のサイト等で案内できるようにしておくことが考えられる。

２　契約と決済手段の見直し

後払い決済を導入する加盟店は，決済事業者との契約で，事故時の連絡の時期と方法，加盟店から提供した購入者情報の利用目的と保存期間，提供の法的性質（委託か第三者提供か）及び購入者への説明の分担を確認しておくことが望ましい。
購入者の情報を決済事業者に提供することについての購入者への説明は，自社のプライバシーポリシーや決済画面の表示と整合しているかも確かめる必要がある。

第７　関連記事

①個人情報漏えいの慰謝料はいくらか―ベネッセ事件最高裁判決と裁判例の認容額（AI作成）
②個人情報漏えいの通知を受けたら―流出項目別の対処，二次被害の防止と証拠保存（AI作成）
③外部委託先で個人情報が漏えいした場合の委託元の対応―報告，本人通知及び委託先監督（AI作成）
④ECサイトのカード情報漏えいと加盟店の義務―割賦販売法３５条の１６，クレジットカード・セキュリティガイドライン６．１版及び開発委託先の責任（AI作成）
⑤タイムズカー約６６０万アカウントの個人情報漏えいから考える本人通知―退会者・入会未完了者・法人会員の登録運転者（AI作成）
⑥消費者被害の集団的回復手続―共通義務確認訴訟と最高裁令和６年３月１２日判決（AI作成）

第８　出典

１　公表資料

①ヤマト運輸株式会社「「クロネコ代金後払いサービス」への不正アクセスの発生について」（令和８年９月２９日，ヤマトホールディングス株式会社ウェブサイト「重要なお知らせ」掲載）
②同「【第２報】「クロネコ代金後払いサービス」への不正アクセスの発生について」（令和８年１０月２日）
③同「【第３報】「クロネコ代金後払いサービス」再開のお知らせ」（令和８年１０月９日）
④同「【第４報】「クロネコ代金後払いサービス」への不正アクセスに関する調査結果と今後の対応について」（令和８年１０月１６日）
⑤ヤマト運輸株式会社「クロネコ代金後払いサービスについて」（クロネコ代金後払いサービス規約を含む）

２　法令・ガイドライン等

①個人情報の保護に関する法律２６条・２７条
②個人情報の保護に関する法律施行規則７条・８条・１０条
③割賦販売法２条
④個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」３－５－３－２，３－５－４－５，３－６－３
⑤個人情報保護委員会事務局・金融庁「金融機関における個人情報保護に関するＱ＆Ａ」（令和６年３月）問Ⅴ－１０

３　裁判例

①最高裁平成２９年１０月２３日判決（平成２８年（受）第１８９２号）
②大阪高裁令和元年１１月２０日判決（平成２９年（ネ）第２６１２号）
③大阪地裁平成１８年５月１９日判決（平成１６年（ワ）第５５９７号）
④大阪高裁平成１３年１２月２５日判決（平成１３年（ネ）第１１６５号）
⑤東京地裁平成１９年２月８日判決及び東京高裁平成１９年８月２８日判決（エステティックサロンのアンケート回答の流出。認容額は次の資料による）
消費者委員会ウェブサイト掲載の資料「消費者被害の事案の概要等について」（参考資料１）