日本郵便の法人ポータルで発注元情報が他社から閲覧可能に 最大4807件

日本郵便は2026年10月13日、法人向けポータルサイト「JP Business Tool Box」の送り状注文機能で、アプリケーションの不具合により、登録された「発注元情報」が、ほかの利用者から閲覧できる状態になっていたと公表しました。最大4,807件が閲覧された可能性があるとしています。不正アクセスによるものではありません。

この事故は、不正アクセスがなくても個人情報が漏れる例であり、情シスが自社のシステムで確かめるべき点を含みます。公式発表から、起きたことと学べることを整理します。

何が起きたのか

「JP Business Tool Box」は、法人向けに、送り状の注文や集荷依頼などをまとめて行えるポータルサイトです。問題が起きたのは、その中の送り状注文機能(ゆうパック・ゆうパケットの送り状ラベルをWebで発注する機能)でした。

日本郵便によると、アプリケーションの不具合により、利用者が操作した際に、送り状ラベルに登録された「発注元情報」が、ほかの利用者から閲覧できる状態になっていました。閲覧の可能性がある項目は、法人名、部署名、担当者名、郵便番号、お届け先住所、電話番号、メールアドレスの7項目で、最大4,807件です。原因はアプリケーションの不具合で、不正アクセスによるものではなく、情報がダウンロードまたは利用された形跡は確認されていないとしています。

日本郵便は、2026年10月8日19時15分ごろに閲覧の可能性を検知し、サービス全体を停止しました。送り状注文機能以外は10月9日16時15分ごろに再開し、送り状注文機能は不具合の修正後に再開する予定です。対象の利用者には、準備が整い次第、書面などで個別に連絡するとしています。問い合わせ先は、日本郵便のお客様サービス相談センター(0120-23-28-86)です。

影響する会社・しない会社

直接の影響を受けたのは、「JP Business Tool Box」で送り状を発注していた法人で、その発注元情報が閲覧された可能性のある利用者です。自社が対象かどうかは、日本郵便からの個別の連絡や、公式のお知らせで確認してください。

一方、情シスの教訓として「自社に関わる」のは、顧客や取引先のデータを扱うWebの業務システムやポータルを、自社で持っている(または作っている)すべての会社です。今回の不具合は、ログインした利用者が「自分のデータだけ」を見られるはずが、別の利用者のデータまで見えてしまう、という種類のものです。これは水平方向の権限の不備(IDORなどと呼ばれます)で、不正アクセスがなくても個人情報の漏えいにつながります。自社のシステムに同じ落とし穴がないかは、業種を問わず確かめる価値があります。

情シスが今日やること

• 自分のデータだけ見えるかを確かめる: 自社やベンダーが作ったWebシステム・ポータルで、ログインユーザーが、自分に紐づくレコードだけを参照・操作できるかを確認します
• パラメーターの改ざんを試す: URLや画面のパラメーター(顧客IDや注文番号など)を書き換えて、他人のデータが見えないか、操作できないかを試します。見えてしまうなら、サーバー側で「その利用者のデータか」を必ず確認する作りに直します
• 改修のたびに確認する: この確認は、最初のリリース時だけでなく、機能を追加・改修するたびに行います。今回のように、既存のサービスへの機能追加で不備が入ることがあります
• 委託先の検収項目に入れる: 開発を外部に委託している場合は、この「他人のデータが見えないか」の確認が、テストや検収の項目に入っているかを点検します
• 初動の段取りを見直す: 日本郵便は検知の当日にサービスを停止し、5日後に公表しました。閲覧項目・件数・悪用の形跡の有無を切り分けて開示しています。自社でも、検知から停止・公表までの段取りを、あらかじめ決めておくと落ち着いて対応できます

不正アクセスのニュースに目が向きがちですが、こうした「作りの不備」による漏えいも少なくありません。自社のシステムで「他人のデータが見えないか」を、一度確かめておくことをおすすめします。