2023年の教訓は、なぜ7万人を守れなかったのか。佐川急便「スマートクラブ」で再び崩れた1対1のひも付け

サイバー攻撃ではなく「復旧作業」で漏れた7万人分：佐川急便が3年前と同じ地雷を踏んだ理由

宅配通知メールが「他人の名前」を運んだとき：佐川急便スマートクラブ事案から自社の復旧手順を点検する

佐川急便が2026年7月18日に公表した約7万人分の個人情報漏えいは、外部からの攻撃ではなく、システム不具合を直そうとした復旧作業そのものが引き金になりました。同じスマートクラブでは2023年4月にも別会員の情報が画面に表示される事象が起きています。3年をはさんで似た形の事故が繰り返された事実は、担当者一人の設定ミスという説明に収まりません。今回のNOTEはこの事案を事例に、では私たちはどうする？どうすべき？を掘り下げます。読み進めると、宅配通知や会員向けメールを運用している自社・自法人の復旧手順、承認フロー、送信前チェックのどこを見直すべきか、輪郭が変わるはずです。

どーも、セオドアアカデミーです。

2026年7月15日夕方、佐川急便の会員制Webサービス「スマートクラブ」から届く配達予定通知メールに、本来の受信者ではない別の利用者の氏名、メールアドレス、お問い合せ送り状No.が載って送信されました。
影響を受けた可能性があるのは約7万人。住所、クレジットカード、電話番号は含まれていません。原因はシステム不具合の復旧作業中に配達予定通知メールの設定を誤ったことで、第三者による不正アクセスやサイバー攻撃ではないと説明されています。
佐川急便は7月18日、会員制Webサービス「スマートクラブ」でシステム不具合が発生し、配達予定通知メールの一部に本来とは異なる利用者の氏名やメールアドレスなどが表示される事象が起きたと発表した。
約7万人の個人情報に影響が及んだ可能性があるという。

対象となる情報は氏名・メールアドレス・荷物の「お問い合せ送り状No.」で、住所やクレジットカード情報は含まれないとしている。同社は15日夕方ごろに事象を確認した。原因は、システム不具合の復旧作業を実施した際に、配達予定通知メールの設定に誤りが生じたためと説明。調査の結果、第三者による不正アクセスやサイバー攻撃ではないことを確認したとしている。

数字だけを追うと、これはよくある「メール誤送信」の一種に見えます。でも、この事案には無視できない前史があります。2023年4月3日午前10時27分から11時57分にかけて、同じスマートクラブで、ログイン中の利用者の「ご依頼主情報」欄に、本人とは異なる会員の氏名、郵便番号、住所、電話番号が誤って表示されていたのです。

原因はやはりシステム障害でした。これは同社の会員制Webサービス「スマートクラブ」にて、4月3日午前10時27分から11時57分にログインした顧客の「ご依頼主情報」欄に、システム障害が原因で会員本人とは異なる情報（氏名、郵便番号、住所、電話番号）が表示されたというもの。

3年をはさんだ二つの事象は、外形こそ違います。しかし、いちど「会員Aと会員Bの境界が崩れる」という同じ形の壊れ方をしています。今回考えてみたいのは、そこです。

3年前の4月3日、同じスマートクラブで壊れていたもの

2023年の事案は、時間にすれば1時間半ほどでした。影響を受けたのはログイン画面上の「ご依頼主情報」欄で、他の会員の情報が返されていた可能性が示されています。原因は「システム障害」とだけ公表され、詳細な構造は開示されていません。

2026年の事案は、これに比べると影響範囲が大きく広がっています。ログイン画面ではなく、こちらから届く「配達予定通知メール」に混入した点も違います。画面は自分で開かないと見えませんが、メールは黙って届きます。相手の氏名とメールアドレスが並ぶ形で、自分の受信箱に他人の名前が置かれてしまう。心理的な距離感がまったく違うのです。

技術的な原因が同じかどうかは、公表資料からは判断できません。ただ、共通するのは、両方ともスマートクラブという同じ会員基盤の上で、「会員IDとその会員の情報」の対応関係が崩れているという点です。片方は画面表示、もう片方はメール本文への差し込み。表出面は異なりますが、根っこにあるのは同じ質の壊れ方に見えます。

2023年の再発防止策の中身と有効範囲は、公表資料の範囲では確認できません。少なくとも今回、同じサービス基盤で類似の構造が再現したことは事実です。ここは、SGホールディングス自身が有価証券報告書のリスク情報で挙げる「システムトラブルや従業員の過失による情報漏えい」の像そのものになっています。

今回概要まとめ図