一番くじONLINEで商品を受け取ったことがある人は、名前と住所と電話番号が漏れたかもしれません。バンダイナムコホールディングス、BANDAI SPIRITS、バンダイロジパルの3社が10月26日に出した第1報によると、入られたのはサービスを運営する会社ではなく、配送を受けた物流子会社のシステムでした。件数はまだ分かっていません。
3社の第1報。一番くじONLINEの配送情報が漏えいした可能性があるとした出典: バンダイナムコホールディングス・BANDAI SPIRITS・バンダイロジパル「株式会社バンダイロジパルへの不正アクセスについてのお知らせ（第1報）」(引用)
運営会社ではなく、配送を受けた会社が入られた
一番くじONLINEは、BANDAI SPIRITSが運営する通販のサービスです。商品を届ける仕事は、グループの物流子会社のバンダイロジパルに任せています。不正アクセスを受けたのは、このバンダイロジパルが管理する物流システムのサーバーでした。
発覚は10月21日。サーバーに不正アクセスの疑いのある痕跡を見つけてすぐ止め、同じ日に、会社のアカウントが不正に使われて操作されていたことも確認しました。翌22日に対策本部を置いてシステム全体を調べると、一番くじONLINEの配送情報を入れたサーバーにも痕跡が見つかっています。
一番くじONLINEの配送情報の漏えい 委託の関係と発覚から公表まで作成: 編集部 / 出典: バンダイナムコホールディングス・BANDAI SPIRITS・バンダイロジパルの第1報（2026年10月26日）
漏えいした可能性があるのは、配送情報の氏名、住所、電話番号です。クレジットカード情報は含まれず、今の時点で不正な使用も確認されていないとしています。物流システムは24日に止め、出荷のシステムは安全が確認できるまで止めたままにします。26日には警察と個人情報保護委員会へ報告し、システムの停止で影響が出る取引先にも知らせました。
つまり、利用者が登録した情報は、運営会社のサイトの外にも置かれていたことになります。注文を受けた会社が、配送のために外の会社へ住所を渡すのはふつうのことです。でも、その先のシステムが入られれば、運営会社が守っていても情報は漏れます。今月は同じ型の事故が続いていて、提供元・委託先の事故7件を図解 自社が狙われなくても漏れる10月の道筋や、出荷管理のシステムが入られた古河電工パワーシステムズに不正アクセスの疑い 送付先の取引先の情報もとも重なります。
件数も入口も、まだ分からない
第1報で分からないことは、次のとおりです。
- 漏えいした可能性のある件数（判明しだい知らせるとしている）
- 会社のアカウントが、どうやって不正に使われたのか
- 一番くじONLINEのいつからいつまでの配送情報が対象か
- 出荷のシステムをいつ再開するか
一番くじONLINEのお知らせの一覧には、27日朝の時点で、この件の知らせは載っていませんでした。会員の問い合わせは、一番くじONLINEのお問い合わせのフォームで受け付けています。
影響を受けるのは、会員と物流を任せる会社
- 影響を受ける: 一番くじONLINEで商品の配送を頼んだ会員です。氏名、住所、電話番号が漏れた可能性があり、3社は心当たりのない電話や郵送物に注意するよう呼びかけています。
- 影響を受ける: 社員が会社の住所あてに一番くじONLINEの商品を届けさせていた会社です。配送情報に会社の住所と代表の電話番号が入っているかもしれません。
- 影響を受ける: バンダイロジパルに物流を任せている取引先の会社です。システムの停止で、出荷が遅れる知らせが届いている場合があります。
- 影響を受けない（第1報の範囲では）: 一番くじONLINEを使っていない人と会社です。ただ、話題になった事故の名前を使う詐欺の連絡は、だれにでも届きえます。
メールアドレスは、第1報の対象の項目に入っていません。偽の連絡は、メールより電話や郵便で来ると考えておくほうがよいでしょう。
物流の委託先と確認すること
自社の顧客の住所を、外の物流会社や発送の代行に渡している会社にとって、今回は人ごとではありません。次の4つを、委託先の担当と一度話しておくと、事故のときに慌てずに済みます。
- 顧客の配送情報を渡している委託先と、渡し方（システムの連携、ファイルの送付、委託先の画面への入力）を一覧にする。
- 委託先のシステムのアカウントに、多要素認証や共有アカウントの扱い、退職者のアカウントの削除の決まりがあるかを聞く。今回の入口は、会社のアカウントの不正利用でした。
- 事故が起きたとき、委託先から何日以内に、だれに連絡が来るかを契約で確認する。委託先で漏えいしたときの報告と本人への通知の流れは、委託先で個人情報が漏えいしたら?報告3〜5日・30日と本人通知の流れにまとめています。
- 配送が済んだあとの住所や電話番号を、委託先がいつまで持っているかを聞き、要らないものは消してもらう。
一番くじONLINEの会員の社員には、短く伝えれば十分です。「バンダイナムコの物流子会社への不正アクセスで、一番くじONLINEの配送情報が漏れた可能性がある。心当たりのない電話や郵送物には答えず、気になったら一番くじONLINEのお問い合わせのフォームで確認する」。
住所と電話番号は、パスワードのように変えられません。だからこそ、どこに渡したかを覚えておくことが、利用者の側にも、渡す側の会社にも、いちばんの備えになるはずです。
