佐川急便、個人情報5323万件流出の可能性　過去最多、件数の発表は引け後

佐川急便の発表によると、対象は、2026年6月21日から9月30日までの約100日間の送り状データ（依頼主・届け先の氏名、住所、電話番号）、運賃契約を結んでいる顧客のリスト、会員サービス「スマートクラブ」の会員情報（メールアドレスと会員IDを含む）の3種類。5323万件は、同じ人の重複をある程度整理したうえでの最大の件数で、実際の人数ではなく、すべてが外部に出たと確かめた数でもない。クレジットカード情報とパスワードは含まれず、手書きの送り状で預かった荷物も対象外。不正利用などの二次被害は、今のところ確認されていないとしている。

経緯を振り返ると、不正アクセスが見つかったのは9月30日（水）午前7時30分。10月1日（木）正午に外部からのアクセスを遮断し、同じ日に個人情報保護委員会へ速報を出した。10月9日（金）の第4報では「確認が終わっていない段階で件数を出すと実際と違う情報が伝わる」として件数を伏せていたが、23日に名寄せの途中経過として最大件数を示した。東京商工リサーチによると、2012年からの集計で1000万件を超える漏えいは2025年までの14年間で3件だったが、2026年は10月23日までに佐川急便を含めて8件（速報値）に増えている。

株価の動きは、発表の時刻と分けて見る必要がある。SGホールディングスの23日の終値は1469.5円で、28円安（1.87%安）。TOPIXの0.79%安より大きく下げ、売買高は142万7700株と前日の約2倍だった。ただ、件数の発表とその報道は午後4時すぎで、東証の取引時間（午後3時30分まで）の後。この日の下げは件数を受けたものではない。第1報の翌日の10月1日は1.97%安で、売買高236万4700株は9月25日以降でいちばん多かった。

影響は佐川急便の外にも広がる。佐川急便は、配送を任せている出荷人（通販会社など）と連名で個人情報保護委員会に確報を出す準備をしており、連名に同意しない出荷人は、自分で報告しなければならない場合があるとしている。問い合わせサービスは23日に再開したが、問い合わせのAPI（他社のシステムとつなぐ仕組み）、飛脚宅配便のネット受付、受取先の変更などは止まったままで、ネット通販の出荷や配送の画面につないでいる事業者の手間が続く。今週は、パーク24がタイムズカーの事案で約146万人に3000円相当の見舞金と55億円の特別損失（23日）、GMOインターネットグループがFX自動売買用サーバーの事案で全利用者に5000円（24日）を決めたが、佐川急便は今回、見舞金や費用の見込みを示していない。

この先は、対象となる実際の人数と個別の案内、止まっているサービスの再開の時期、費用をどう扱うかが焦点になる。株探の予定では、SGホールディングスの中間決算の発表は11月6日（金）。一方で佐川急便は10月2日（金）、2027年1月1日（金）から主力の飛脚宅配便の届出運賃を平均約13.8%引き上げると発表しており、業績は値上げの効果と今回の事案の費用の両面から見ることになる。