安全指南

雅玛多(Yamato)与佐川(Sagawa)数据泄露事件(2026年):受影响用户与应对

Yamato Transport确认约526万条延期付款用户记录(姓名、地址、电话号码、商品明细)被取走;Sagawa Express称最多约5323万条记录(含重复)可能已泄露。谁受影响,以及如何识别虚假配送短信。

发布于 2026-10-03 更新于 2026-10-24 最后核实 2026-10-24 6 分钟阅读
本页目录

适用对象:2026年初夏以来在日本通过Sagawa Express寄送或收到过包裹的人、Sagawa Smart Club会员、使用Kuroneko延期付款(Kuroneko Daikin Atobarai)支付网购费用的人、提供该付款方式的店铺,以及使用佐川发货的企业。本文基于两家公司的官方通知撰写,不涉及攻击技术。

事态发展中:本文将随着两家公司发布更多信息而更新

Yamato:2026年10月20日;Sagawa:2026年10月24日

尚不清楚

  • Sagawa:实际受影响人数及个别通知(仍在合并重复记录)
  • Sagawa:包裹内容(商品名称)或配送历史是否包含在内
  • Sagawa:八项停止的网络服务何时恢复
  • 两家公司:未经授权访问的原因和方式
  • Yamato:是否提供赔偿(第四份通知未提及)

在10月23日发布的第五份通知中,Sagawa Express将可能泄露的个人数据记录最大数量给出为约5323万条(含重复),并于当日恢复了包裹追踪服务。该公司表示,该数字不是人数,也不是已确认实际流出公司的记录数量。目前仍在合并重复记录,确认受影响人员后将逐一联系。在10月16日发布的第四份通知中,Yamato Transport公布了被取走数据的类别、时间范围和数量;10月20日查看的同一页面显示,尚未确认其他服务(如个人用户的Kuroneko Members或企业用户的Yamato Business Members)的数据遭到未经授权取走。两家公司的数量为各自独立的数字,不应相加。

您是否受到影响?快速对比

Sagawa ExpressYamato Transport
服务官网上的包裹追踪服务(“Onimotsu Toiawase”)网购用的Kuroneko延期付款服务
发现时间2026年9月30日2026年9月28日(当日22:28停止服务)
受影响对象2026年6月21日至9月30日处理的包裹的寄件人和收件人(约100天;不含手写运单),运费合同客户,Smart Club会员(可能)部分服务用户(2018年10月1日至2026年9月28日),其中部分人的配送地址信息(自2021年2月5日起),部分参与店铺(据Yamato称已被取走)
泄露数据可能已泄露(据Sagawa):姓名、地址、电话号码(Smart Club会员另加电子邮件和会员编号)已确认泄露(据Yamato):用户的姓名、地址、电话、电子邮件、商品明细(商品名称、数量、单价)、内部数据(申请编号、订单日期、信用审核编号);收件人的姓名、地址、电话、追踪号;店铺名称和代码
包裹内容(商品名称)、配送历史调查中(Sagawa表示仍在核查)商品明细:已确认泄露(Yamato);收件人的追踪号也包含在内。配送历史:未列出
不包括信用卡信息、密码、银行账户信息信用卡信息、密码信息。账单金额、未付余额和员工姓名未被发现遭到取走
受影响数量最多约5323万条记录(可能已泄露;含重复,不是人数;未按类别公布数量)用户:约526万条记录(其中约49万条含电子邮件地址);收件人:约5万条;店铺:约4100条
服务状态包裹追踪于10月23日恢复;包括网上预约在内的八项网络服务仍处于停止状态且无恢复日期(取件和配送正常运行)10月9日13:00恢复;付款期限延长17天

Sagawa所说的“约100天”指2026年6月21日至9月30日该公司处理的包裹(依据系统保存运单数据的时长确定)。您无需亲自使用过佐川服务:如果您网购的商品由佐川投递给您,您可能作为收件人被包含在内。手写运单寄送的包裹不在范围内。Sagawa表示,将在确认受影响人员后逐一联系,对于无法单独联系的人员,第五份通知本身即视为告知。

对Yamato而言,受影响人员是自2018年10月起在结账时选择Kuroneko延期付款的部分用户,以及他们中部分人的配送地址(自2021年2月起,约5万条记录)。如果您不确定,可以查看过往的订单确认邮件或付款单,了解当时的付款方式。Yamato表示将逐一联系数据被取走的人员,对于无法联系到的人员(例如其信息已变更),10月16日的第四份通知即视为告知。

今天该做什么

1

请勿打开自称是快递公司的短信或邮件中的链接

Yamato表示,其不会通过短信发送未送达或预约配送通知,也不会以电子邮件或短信要求确认地址或为再配送支付费用。Sagawa表示,其不会发送有关取件和配送的短信通知。

因此,内容为“因您不在家,我们已将包裹退回”或“因地址不明无法投递”的短信,即使使用了两家公司中任一家的名义,也应视为虚假信息。请不要打开链接,直接删除(如何识别此类信息:什么是网络钓鱼?)。

2

在官方应用或您自己打开的网站上查询包裹

如果您想确认包裹是否真的在途中,请不要从短信开始查询。请使用您已安装的官方应用,或通过书签或搜索打开官方网站。

运单号在您购物店铺发送的发货邮件或订单记录中。如果您亲自输入运单号,就不会误入虚假网站。Sagawa已于10月23日恢复包裹追踪服务,并表示可像以前一样通过网站使用;如需更多详情,请联系最近的Sagawa营业所。网上取件预约(如Hikyaku包裹配送预约)仍处于停止状态,但Sagawa表示营业所仍接受电话取件请求。

3

将延期付款账单和催款通知与店铺的订单记录核对

根据Yamato的第四份通知,被取走的数据包括商品明细(商品名称、数量、单价等)、申请编号和订单日期。账单金额和未付余额(尚未支付的金额)未被发现遭到取走,但任何人只要知道您买了什么、何时买的、买了几件、价格多少,仍可能发出非常逼真的“我们尚未收到您的付款”催款通知。

如果您收到催款或“未付款”通知,请不要使用其中的号码或链接。请打开您购买商品的店铺的订单记录,核对付款方式、金额和订单日期。对于您不认识或不相符的内容,请直接向该店铺核实。

Yamato还因服务中断,将2026年9月28日或之后到期的付款单的付款期限延长了17天(例如,10月1日的期限变为10月18日)。在延长后的期限内,无需回应那些以“已过期”为由催促付款的消息。

4

不要因为姓名和地址正确就认定短信是真实的

基于这些数据,虚假短信可能包含您的真实姓名、正确地址和电话号码。如果您使用过延期付款,它甚至可能写明您购买的商品及其价格。对于Yamato延期付款订单的配送地址所对应的人员,追踪(运单)号也在被取走的数据之中,因此虚假短信可能引用真实的追踪号(Sagawa表示仍在核查包裹内容或配送历史是否包含在内)。

短信中正确的个人信息并不能证明发件人是真实的。同样的假设也曾被利用于Booking.com事件,当时使用了真实的预订信息。

5

如果您已打开链接并输入了信息

如果您输入了银行卡号,请立即致电发卡机构并挂失。如果您输入了密码,请在该服务以及其他所有使用相同密码的服务上更改密码(密码管理器是停止重复使用密码的切实可行的方法)。

如果虚假网站诱导您安装应用,请在手机设置中将其删除,并检查是否有您未发送的短信,以及是否有计入手机话费账单的扣费(智能手机安全基础)。

6

联系各公司的官方联系方式

Sagawa已为可能的数据泄露设立专门的呼叫中心(0120-28-3449,9:00至17:00,包括周末和节假日,仅限日本国内)。有关包裹本身的问题,请咨询最近的营业所。

对于延期付款服务的用户,Yamato第三份通知(10月9日)列出了一条电话热线(0570-666-775,9:00-18:00,周末和节假日除外,仅限日本国内)以及咨询表单。在10月16日的第四份通知中,唯一的联系方式是一个电子邮件地址(scmail2@kuronekoyamato.co.jp)。该公司表示,将逐一联系数据被取走的人员。

发生了什么(依据两家公司的通知)

以下内容均依据各公司的官方通知。每份通知仅涉及本公司的服务,且均未提及另一起事件。两起事件中各类别的数量均为独立数字,不应相加。

  1. 2026年9月28日(周一)

    Yamato Transport确认其Kuroneko延期付款服务遭到第三方未经授权访问,限制了外部访问,并于当日22:28停止服务。
  2. 9月29日

    Yamato发布第一份通知,称包裹配送及其他服务正常运行。
  3. 2026年9月30日(周三)

    Sagawa Express确认其网站包裹追踪服务遭到第三方未经授权访问,并部分限制了访问(第一份通知)。
  4. 10月1日

    Sagawa第二份通知:个人数据可能已泄露,并停止了九项网络服务。第三份通知开通了专门的呼叫中心。
  5. 10月2日

    Yamato第二份通知:用户、参与店铺及员工的部分数据可能已泄露。
  6. 10月3日

    Sagawa发布常见问题解答。数量和原因仍在调查中,尚未发现可能泄露的数据被滥用。
  7. 10月8日

    Sagawa在常见问题解答中补充了其向个人信息保护委员会报告的情况:10月1日提交初步报告,并计划与其托运人共同提交最终报告。
  8. 10月9日

    Yamato第三份通知:延期付款服务于13:00恢复,付款期限延长17天,数据泄露的有无及范围仍在调查中。
  9. 10月9日

    Sagawa第四份通知:未发现对其其他系统或集团公司系统的影响。仍在进行数据去重,在确认之前不会公布数量。同日,其常见问题解答补充了如何通过LINE查询配送状态。
  10. 10月16日

    Yamato第四份通知:调查发现部分数据已被取走。约526万条用户记录(其中约49万条含电子邮件地址)、约5万条配送地址记录和约4100条参与店铺记录。账单金额、未付余额和员工姓名未被发现遭到取走。未发现二次危害,公司将逐一联系受影响人员。
  11. 10月23日

    Sagawa第五份通知:包裹追踪服务恢复,可能泄露的个人数据记录最大数量给出为约5323万条(含重复)。时间范围为2026年6月21日至9月30日;手写运单不在范围内。其他八项网络服务仍处于停止状态。同日,其常见问题解答更新,新增了如何查询发货记录的内容(Q2-7)。
最多约5323万
Sagawa:可能已泄露的个人数据记录(含重复,不是人数;2026年6月21日至9月30日的包裹等)
约526万
Yamato:已确认被取走的延期付款用户记录(另有约5万条收件人记录和约4100家店铺记录)
不包括
信用卡数据和密码(两家公司)
8项服务
Sagawa仍停止的网络服务(追踪已于10月23日恢复;取件和配送正常运行)
Sagawa Express(第1至5份通知及常见问题,截至2026年10月23日)
服务
公司网站上的包裹追踪服务(“Onimotsu Toiawase”,即其网络货运系统)。于9月30日上午7:30发现;未经授权访问何时开始仍在调查中
包裹寄件人和收件人
运单数据:姓名(企业为公司名称及联系人)、地址、电话号码。处理的包裹为2026年6月21日至9月30日(约100天),依据系统保存运单数据的时长确定。手写运单寄送的包裹不在范围内
运费合同客户
享有运费协议价的企业及个人客户的姓名(企业为公司名称及联系人)、地址和电话号码
Smart Club用户
姓名(企业为公司名称及联系人)、地址、电话号码、电子邮件地址、Smart Club会员编号
包裹内容、配送历史
数据的详细情况,包括包裹内容(商品名称)或配送历史是否包含在内,仍在核查中(常见问题Q3-4)
不包括
信用卡信息、密码、银行账户信息
恢复及停止的服务
10月1日中午切断了系统的外部访问,并停止了九项网络服务。10月23日,在采取必要的安全措施并完成安全检查后,网上包裹追踪恢复。仍有八项服务停止且无恢复日期:追踪API(店铺用于将追踪数据导入其自身系统的接口);Hikyaku包裹配送、往返配送和高尔夫往返配送的网上预约;商品退货退款服务;两项配送地址变更服务(配送前及未送达后);以及“Kaishu-kun”集货服务
数量
可能已泄露的个人数据记录:目前最多约5323万条(含重复)。这是部分合并重复记录后的最大值;尤其是运单数据中仍包含大量重复,因此它既不是人数,也不是已确认实际流出公司的记录数量。对企业而言,能识别个人身份的信息(如联系人姓名)会被计入;仅有公司名称的记录不计入。第(1)至(3)类的分类数量未公布
通知
Sagawa正在核查和整理可能受影响的人员,并将逐一联系。对于无法单独联系的人员,第五份通知即视为告知
原因
未披露;正与第三方专家共同调查。在第五份通知中,Sagawa表示,根据专家的调查结果,其正在检查信息安全,包括加强访问管理和监控,并将继续努力查明原因
7月事件
与2026年7月公布的Smart Club个人数据泄露相互独立。Sagawa表示该事件是系统故障恢复过程中的配置错误所致,而非第三方未经授权访问(常见问题Q1-4)
扩散情况
未发现对其他系统或集团公司系统的影响(第四份通知)。截至第五份通知,未发现与本次事件相关的个人数据滥用等二次危害
报告
已于10月1日向个人信息保护委员会提交初步报告;已咨询警方。最终报告计划以Sagawa及其托运人共同名义提交(见下文“面向使用佐川发货的店铺和企业”)
查询配送
自10月23日起,可通过官网的包裹追踪服务查询;如需更多详情,请咨询最近的营业所
联系方式
专门呼叫中心0120-28-3449(9:00-17:00,包括周末和节假日)
Yamato Transport(第1至4份通知,截至2026年10月16日)
运营方
该服务由Yamato Transport Co., Ltd.运营,通知也由其发布(发布于Yamato Holdings官网)
服务运作方式
用户先收到网购商品,之后再付款,例如在便利店使用付款单付款,或根据发送到智能手机的通知付款
调查结果(第四份通知)
与外部安全公司共同调查后发现,与Kuroneko延期付款服务相关的部分数据已被取走
部分用户,约526万条记录
姓名、地址、电话号码、电子邮件地址、商品明细(商品名称、数量、单价等)、内部管理数据(申请编号、订单日期、信用审核编号等)。时间范围:2018年10月1日至2026年9月28日。约49万条记录包含电子邮件地址
部分收件人,约5万条记录
部分用户配送地址信息中的姓名、地址、电话号码及追踪(运单)号。时间范围:2021年2月5日至2026年9月28日
部分参与店铺,约4100条记录
店铺名称、内部管理数据(店铺代码)。时间范围:2018年10月1日至2026年9月28日
未被发现遭取走的内容
账单金额、未付余额和员工姓名(第二份通知曾表示可能泄露)
不包括
信用卡信息、密码信息
服务状态
10月9日13:00恢复。2026年9月28日或之后到期的付款单可延长17天
通知
数据被取走的人员将被逐一联系。对于无法联系到的人员(例如其登记信息已变更),第四份通知即视为告知
滥用情况
未发现数据被滥用造成的二次危害(第四份通知)。第三和第四份通知均表示,Yamato已收到关于可疑电子邮件、短信和电话的咨询
原因及预防
未披露详细原因(仅称“第三方未经授权访问”)。在已采取措施的基础上,Yamato将依据外部专家的建议,通过中长期措施加强安全保障。已向个人信息保护委员会报告
赔偿
第四份通知未提及
联系方式
用户:电话0570-666-775(9:00-18:00,周末和节假日除外),或通知中链接的咨询表单。参与店铺:0120-69-5090(同一时段)或电子邮件payment@kuronekoyamato.co.jp(均来自第三份通知)。一般咨询:电子邮件scmail2@kuronekoyamato.co.jp(第四份通知中列出的唯一联系方式)

如何理解:Sagawa的5323万是可能已泄露记录的最大值,而非人数

Yamato于10月16日确认数据已被取走,而Sagawa仍表示数据“可能”已泄露。其约5323万的数字包含重复记录;Sagawa表示这不是人数,也不是已确认实际流出公司的记录数量。不过,虚假信息可能在任何内容得到确认之前就已出现。

在这些事件发生之前,冒充快递公司的短信在日本就已十分常见。无论本案如何,都值得坚持不打开链接、在官方应用中核对的习惯。

称包裹已被退回或地址不明的短信

以快递公司名义发送

↓

视为虚假信息。请勿打开链接,直接删除

两家公司均表示不会通过短信发送未送达或取件配送通知

称包裹正在途中的邮件或信息

↓

在官方应用或您自己打开的官方网站上核查

自行输入运单号,运单号来自店铺的发货邮件或订单记录

延期付款账单或“未收到您的付款”通知

可能显示正确的商品名称和金额

↓

与您购买商品的店铺订单记录进行比对

如果付款方式、金额或订单日期不符,请直接联系店铺

自称快递公司或付款服务的来电

↓

挂断电话,自行拨打官方联系方式

Sagawa的专门呼叫中心;包裹问题请咨询最近的营业所

每种类型的信息都有对应的核查方式。在任何情况下,都请勿使用信息中的链接或电话号码。

这些数据如何改变虚假短信

直到现在,日本大多数虚假未送达短信都是不含姓名的群发信息。有了这些数据,以下类型的短信就有可能出现。

泄露数据可能使以下短信成为可能

  • 包含您的真实姓名和正确地址的“地址确认”请求
  • 针对2026年初夏以来收到佐川包裹的人员的未送达通知
  • 写明您所购商品及金额的“我们无法确认您的付款”通知
  • 自称快递公司或付款服务、拨打您电话的来电

您仍可以核查的内容

  • 两家公司均表示不会通过短信发送未送达通知
  • 您的运单号在店铺的发货邮件或订单记录中
  • 正确的金额和付款方式在店铺的订单记录中
  • 官方应用或您自己打开的网站,能让您远离虚假网站

本站观点:无法仅凭送达方式判断延期付款账单是否真实

根据Yamato自身的说明,其不会通过短信发送的是未送达和预约配送通知。Kuroneko延期付款服务则通过付款单或发送到智能手机的通知运作。

因此,“它是发到我手机上的,所以是假的”这一判断对账单并不成立。关键在于内容:金额、订单日期和付款方式是否与店铺订单记录相符。要求您读出预付电子货币卡号,或将款项转入私人名下账户的要求,并不符合延期付款的运作方式,请勿付款。

面向使用佐川发货的店铺和企业

Yamato的第四份通知确认,部分参与店铺(约4100条记录)的店铺名称和店铺代码已被取走。Sagawa已于10月23日恢复网络追踪,但店铺用于自动获取追踪数据的API仍处于停止状态。使用佐川发货的企业还需要完成向个人信息保护委员会报告的步骤(即下列最后一步)。

1

告知客户您的付款通知是什么样子

您的客户可能会收到以贵店名义发出的虚假催款或发货通知。请通过网站公告或订单确认邮件说明贵店如何索取付款(由谁发送、通过何种渠道、索取什么),并说明可以在哪里咨询,以便客户分辨真假。

2

对于使用您的店铺代码发出的“变更手续”请求,请通过其他渠道核实

有了店铺名称和代码,冒充服务提供商并要求您“变更结算账户”或“重新注册”就变得更容易。请通过致电合同文件中列出的已知联系人来核实此类请求(防止他人伪造贵公司域名:电子邮件欺骗与SPF、DKIM、DMARC)。

3

告知客户物流追踪更新已暂停

在佐川的API停止期间,贵店账户页面中的配送状态可能无法更新。说明这一情况,并告知发货邮件中的运单号仍然有效,可以减少客户转而点击虚假“请在此查询配送状态”信息的情况。

4

如果您使用佐川发货,请决定是否加入其向个人信息保护委员会的报告

在10月8日新增、10月23日更新的一条常见问题解答中,Sagawa Express说明了其向日本个人信息保护委员会(PPC)报告的方式。此处的“托运人”指委托佐川配送的企业。

  • Sagawa已于10月1日向PPC提交初步报告
  • 其正准备编制最终报告,并与托运人共同提交
  • 不同意共同报告的托运人须自行提交初步报告和最终报告
  • 共同报告并不妨碍您另行单独报告;如果您已单独报告,可以改为共同报告
  • 待受影响记录数量及其他必要细节确认后,Sagawa将向受影响的托运人发送程序详情
  • 其将随着调查进展更新报告

因此,为迎接该通知,请先确定由谁在共同报告与本公司自行报告之间作出选择,并核查您在2026年6月21日至9月30日期间通过佐川发货的记录。在10月23日新增的一条常见问题解答(Q2-7)中,Sagawa表示应在您目前使用的运单开具系统中核查该期间的发货记录。例如,Biz-LogiWEB每次最多可查询三个月,Biz-LogiWEB II每次最多可查询一个月,因此需要分段查询。

如需与同年公开的其他日本主要数据泄露事件进行比较,请参阅2026年日本主要数据泄露事件;如涉及身份证件图像同时泄露的案例,请参阅Times Car数据泄露事件。

信息来源(公开记录)

本文事实均来自以下公开来源。对入侵的未披露方法或原因不做推测。

  • Sagawa Express Co., Ltd.,包裹追踪服务遭未经授权访问(第一份通知,2026年9月30日,日文)——sagawa-exp.co.jp
  • Sagawa Express Co., Ltd.,包裹追踪服务未经授权访问导致个人数据可能泄露(第二份通知,2026年10月1日,日文)——sagawa-exp.co.jp
  • Sagawa Express Co., Ltd.,第三份通知(2026年10月1日:专门呼叫中心,日文)——sagawa-exp.co.jp
  • Sagawa Express Co., Ltd.,包裹追踪服务未经授权访问导致个人数据可能泄露(第四份通知,2026年10月9日,日文)——sagawa-exp.co.jp
  • Sagawa Express Co., Ltd.,包裹追踪服务恢复及个人数据泄露调查情况(第五份通知,2026年10月23日,日文)——sagawa-exp.co.jp
  • Sagawa Express Co., Ltd.,包裹追踪服务未经授权访问常见问题(2026年10月3日发布;包括Q1-4,与7月Smart Club事件相互独立;Q3-4,商品名称和配送历史仍在核查;Q6-5关于向PPC报告,10月8日新增;Q5-3关于查询配送状态,10月9日新增;Q1-3、Q2-3、Q5-2、Q5-3、Q5-6和Q6-5已更新,Q2-7关于查询发货记录,10月23日新增;日文)——sagawa-exp.co.jp
  • Sagawa Express Co., Ltd.,关于冒充佐川的垃圾信息的警示(称其不会通过短信发送取件配送信息,日文)——sagawa-exp.co.jp
  • Yamato Transport Co., Ltd.,Kuroneko延期付款服务遭未经授权访问(第一份通知,2026年9月29日,日文)——yamato-hd.co.jp(PDF)
  • Yamato Transport Co., Ltd.,关于Kuroneko延期付款服务未经授权访问的第二份通知(2026年10月2日,日文)——yamato-hd.co.jp(PDF)
  • Yamato Transport Co., Ltd.,第三份通知:Kuroneko延期付款服务已恢复(2026年10月9日,日文)——yamato-hd.co.jp(PDF)
  • Yamato Transport Co., Ltd.,第四份通知:Kuroneko延期付款服务未经授权访问的调查结果及后续措施(2026年10月16日,日文)——yamato-hd.co.jp
  • Yamato Transport,关于冒充大和的垃圾信息的警示(2025年8月26日更新;列出其不会通过电子邮件或短信发送的内容,日文)——yamato-hd.co.jp

更新记录

2026-10-03:首版,依据Sagawa Express 9月30日(第一份)及10月1日(第二和第三份)通知,以及Yamato Transport 9月29日(第一份)及10月2日(第二份)通知撰写。两家公司均表示数量、范围和原因仍在调查中;如其发布更多信息,本文将随之更新。
2026-10-04:新增Sagawa Express 10月3日常见问题解答(不包括银行账户信息,未发现滥用,已向个人信息保护委员会报告并咨询警方,可通过电话请求取件)。数量和原因仍未披露。自Yamato Transport 10月2日第二份通知后,未有新通知。
2026-10-09:根据Sagawa Express 10月8日常见问题解答更新,新增其向个人信息保护委员会报告的方式(10月1日提交初步报告;计划与托运人共同提交最终报告),作为企业步骤和常见问题内容。数量和原因仍在调查中。Yamato Transport无新通知。
2026-10-10:新增Yamato Transport 10月9日第三份通知(服务于13:00恢复,付款期限延长17天,用户电话热线)及Sagawa Express 10月9日第四份通知(未发现对其他系统或集团公司的影响,未公布数量的原因,已切断外部访问),并新增常见问题Q5-3(通过LINE查询配送状态)。两家公司仍将数量和原因列为调查中。Yamato第一和第二份通知已改为PDF,因此来源链接已更新。
2026-10-11:新增Sagawa Express常见问题Q3-4(包裹内容或配送历史是否包含在内仍在核查),并修订了关于虚假信息可能包含您何时收到包裹的说明。新增常见问题Q1-4(与7月Smart Club事件相互独立),以及Yamato第三份通知中针对参与店铺的电子邮件联系方式。两家公司仍将数量和原因列为调查中。
2026-10-17:新增Yamato Transport 10月16日第四份通知(确认被取走的约526万条用户记录、约5万条收件人记录和约4100条店铺记录;涉及的数据类别和时间范围;未发现账单金额、未付余额和员工姓名被取走;逐一联系,必要时以通知本身视为告知)。已更新标题、描述、对比表和时间线,并在页首新增“尚不清楚”提示框。Yamato第三份通知已改为PDF,因此已更新其来源链接。截至10月17日未找到Sagawa Express的新通知;其数量和原因仍在调查中。
2026-10-20:新增Yamato Transport第四份通知中已核实的说明:尚未确认其他服务(如Kuroneko Members)的数据遭到未经授权取走。Sagawa的审查日期仍为10月17日。
2026-10-24:新增Sagawa Express 10月23日第五份通知及其常见问题更新:可能泄露的个人数据记录最大数量(约5323万条,含重复,不是人数)、时间范围(2026年6月21日至9月30日)、手写运单不在范围内、记录计数方式(计入企业联系人姓名,不计入仅有公司名称的记录)、未按类别公布数量、包裹追踪服务恢复(八项服务仍停止)以及如何查询发货记录(常见问题Q2-7)。已更新描述、对比表、时间线和企业步骤,并删除了LINE追踪建议(已不在常见问题解答中)。原因仍未公布。Yamato的审查日期仍为10月20日。

延伸阅读

最新快讯

FAQ

Q佐川急便数据泄露中可能泄露了哪些信息?
A

根据Sagawa Express于2026年10月23日发布的第五份通知,涵盖三类数据:(1)该公司处理的包裹的运单数据——2026年6月21日至9月30日期间寄件人和收件人的姓名、地址和电话号码(约100天,依据系统保存运单数据的时长确定);(2)运费合同客户的合同数据——姓名、地址和电话号码;(3)注册使用其Smart Club网络服务的会员数据——姓名、地址、电话号码、电子邮件地址和Smart Club会员编号。手写运单寄送的包裹不在范围内。可能泄露的个人数据记录目前最多约5323万条(含重复)。信用卡信息和密码不在范围内。包裹内容(商品名称)或配送历史是否包含在内仍在核查中,数据的其他细节也在核查中(常见问题Q3-4)。

Q佐川“最多约5323万条”是人数吗?
A

不是。Sagawa在第五份通知中表示,这是在部分合并同一客户重复记录后的当前最大值,并且尤其是运单数据中仍包含大量重复,因此该数字并不能反映实际受影响的人数。它也不是已确认实际流出公司的记录数量。对于企业客户,能识别个人身份的信息(如联系人姓名)会被计入,而仅有公司名称的记录不计入。Sagawa表示,由于重复记录众多,难以得出真实人数,因此不公布第(1)至(3)类数据的单独数量。

Q雅玛多运输数据泄露中泄露了哪些信息?
A

根据Yamato Transport于2026年10月16日发布的第四份通知,该公司与外部安全公司共同调查后发现以下数据被取走:(1)部分Kuroneko延期付款服务(Kuroneko Daikin Atobarai)用户的:姓名、地址、电话号码、电子邮件地址、商品明细(商品名称、数量、单价等)及内部管理数据(申请编号、订单日期、信用审核编号等),时间范围为2018年10月1日至2026年9月28日:约526万条记录,其中约49万条包含电子邮件地址。(2)部分用户的配送地址信息:收件人姓名、地址、电话号码及追踪(运单)编号,时间范围为2021年2月5日至2026年9月28日:约5万条记录。(3)部分参与店铺的:店铺名称和店铺代码:约4100条记录。信用卡信息和密码不在范围内。第二份通知曾表示可能泄露的账单金额、未付余额和员工姓名,未被发现遭到取走。

Q我如何确认自己是否受雅玛多数据泄露影响?
A

在第四份通知中,Yamato表示将逐一联系数据被取走的人员。对于无法联系到的人员(例如其登记信息已变更),该通知本身即视为告知。即使没有收到消息,如果您自2018年10月起在网购中使用过Kuroneko延期付款,也应假设您可能受到影响,并提防虚假信息。问题可发送至通知页面上的邮箱联系方式(scmail2@kuronekoyamato.co.jp)。

QKuroneko延期付款的付款期限是否已延长?
A

是的。根据Yamato Transport于2026年10月9日发布的第三份通知,2026年9月28日或之后到期的付款单将额外延长17天,以补偿服务中断。例如,付款到期日为10月1日的付款单,现在的到期日为10月18日。在延长后的期限内付款即可;如果短信称您的款项已逾期并须立即支付,请勿点击其中的链接或拨打其中的电话。

Q如果我从未使用过佐川急便,还会受影响吗?
A

会。Sagawa的通知同时涵盖其处理的包裹的寄件人和收件人。如果您网购的商品由佐川投递,即使您从未注册过任何佐川服务,您的姓名、地址和电话号码也可能作为收件人被包含在内。该期间指公司于2026年6月21日至9月30日(约100天)处理的包裹。手写运单寄送的包裹不在范围内。

Q雅玛多和佐川的事件是否相关?
A

两家公司的通知各自仅涉及本公司的服务,且均未提及对方的事件。两起事件的发现日期(雅玛多为9月28日,佐川为9月30日)和受影响的服务也不同。本文将二者视为独立事件。

Q这与佐川在2026年7月公布的Smart Club数据泄露是同一事件吗?
A

不是。根据Sagawa Express的常见问题(Q1-4),7月的事件是系统故障后恢复工作中的配置错误所致,而非第三方未经授权访问。本次则确认了第三方未经授权访问。

Q日本的快递公司会发送未送达短信吗?
A

Yamato Transport官方表示,其不会通过短信发送未送达或预约配送通知,也不会以电子邮件或短信要求确认地址或为再配送支付费用。Sagawa Express表示,其不会发送有关取件和配送的短信通知。如果您收到以两家公司名义发出的关于未送达或不明地址的短信,请不要打开链接,直接删除。

Q如何判断Kuroneko延期付款账单是否真实?
A

不要使用短信中的链接或电话号码。请打开您购买该商品的店铺的订单记录,核对付款方式、金额和订单日期是否一致。Yamato将该服务描述为收到商品后再付款,例如在便利店使用付款单付款,或根据发送到您智能手机上的通知付款。对于您不认识的账单,或金额或付款方式不符的账单,请直接向店铺核实。

Q我需要更改密码吗?
A

两家公司均表示,密码不在可能泄露的数据之列。不过,Smart Club会员的电子邮件地址和会员编号包含在内,因此如果您在其他地方使用相同的密码,现在正是停止这样做的好时机。

Q是什么导致了数据泄露?
A

截至2026年10月24日,两家公司均未披露未经授权访问是如何发生的或其原因。Yamato在10月16日的第四份通知中给出了被取走的数据和数量,但仅将原因描述为第三方未经授权访问;其表示,将在已采取措施的基础上,依据外部专家的建议,通过中长期措施加强安全保障。Sagawa在10月23日的第五份通知中表示,根据第三方专家的调查,其正在检查信息安全,包括加强访问管理和监控,并将继续努力查明原因(其常见问题Q1-2仍表示原因正在调查中)。

Q我可以使用佐川的包裹追踪服务吗?
A

可以。Sagawa Express表示,在采取必要的安全措施并确认安全后,其已于2026年10月23日(周五)恢复包裹追踪服务(网络货运包裹查询),可像以前一样通过网站使用。如需更多详情,您可以咨询最近的营业所。仍有八项服务处于停止状态且没有恢复日期:追踪API、Hikyaku包裹配送的网上预约、往返配送和高尔夫往返配送、商品退货退款服务、两项配送地址变更服务,以及Kaishu-kun。请在您自己打开的官方网站上输入运单号查询包裹,而不要通过短信或电子邮件中的链接。

Q使用佐川发货的企业是否需要向个人信息保护委员会报告?
A

在10月8日新增、10月23日更新的一条常见问题解答中,Sagawa Express表示,其已于10月1日向日本个人信息保护委员会(PPC)提交了初步报告,并正以其自身名义及其托运人(委托佐川配送的企业)的名义,准备共同提交最终报告。不同意共同报告的托运人须自行提交初步报告和最终报告。共同报告并不妨碍托运人另行单独报告,已单独报告的托运人可以改为共同报告。Sagawa表示,待受影响记录数量及其他必要细节确认后,将向受影响的托运人发送程序详情,并将随着调查进展更新其报告。