最終更新：10 月 27 日 00:20（日本時間）
続報が出たら追記します。
すぐ見る：よくある疑問 ／ 自分が対象かの確かめ方 ／ 不審な連絡への注意 ／ 配送を任せている会社 ／ 技術的な詳細 ／ 経緯
ひとことで言うと
一番くじONLINE の届け先の名前・住所・電話番号が漏れたおそれ。件数は調査中（10 月 26 日の第 1 報）
- バンダイナムコグループで荷物の発送を受け持つバンダイロジパルのシステムに、外から何者かが入り込んだ。10 月 21 日に分かった
- 漏れた（漏洩した）可能性があるのは、「一番くじONLINE」で商品を届けるための情報（氏名・住所・電話番号）。何件かは調べているところ。クレジットカード情報は含まれない
- 一番くじONLINE を使った人は、心当たりのない電話や郵便物に気をつける。発送を外の会社に任せている会社は、渡している情報と、事故のときの連絡の決まりを確かめる
どうすればいい？
よくある疑問と答え
-
自分は対象？
一番くじONLINE で当たった商品を届けてもらった人の情報が対象になりえます。漏洩が疑われる人には、10 月 26 日に注意の案内を出したとしています。
→ 使い方別の早見表 - 何が漏れた？カード番号は？ 届け先の氏名・住所・電話番号です。クレジットカード情報は含まれません。今のところ、悪用されたことは確認されていません。
-
気をつけることは？
心当たりのない電話・郵便物・SMS には応じないでください。カード番号やパスワード、SMS で届いた認証コードは伝えません。
→ 届きうる連絡の例 -
注文した商品は届く？
安全が確かめられるまで、出荷のシステムを止めています。届く時期への影響は、第 1 報には書かれていません。
→ 止まっているもの - 問い合わせ先は？ お知らせにある「一番くじONLINE会員様のお問い合わせ先」（一番くじONLINE のお問い合わせフォーム）です。サイトは、ブックマークや検索から自分で開いてください。
-
発送を外の会社に任せている会社は？
渡している項目と消してもらう時期、事故のときに何日以内に知らせてもらうかを確かめます。点検表を下に載せています（この記事での整理）。
→ 物流会社に渡している情報の点検表 -
どうやって入り込まれた？
サーバーに不正アクセスの疑いのある跡が見つかり、同社のアカウントが勝手に使われて操作されたことも確かめられています。攻撃の手段は書かれていません。
→ 技術的な詳細
詳しくは：自分が対象かの確かめ方 ／ 不審な連絡への注意 ／ 物流会社に渡している顧客情報の点検表
この記事では、バンダイロジパルへの不正アクセスと、一番くじONLINE の情報漏洩（個人情報が漏洩した可能性）について、バンダイナムコホールディングス・BANDAI SPIRITS・バンダイロジパルの 3 社が 2026 年 10 月 26 日に連名で出したお知らせ（第 1 報）と、個人情報保護委員会のガイドラインだけをもとに、何が起きたのかと、一番くじONLINE を使った人・配送を物流会社などに任せている通販事業者がやることを整理します。同じお知らせは、バンダイナムコホールディングスのプレスリリースの一覧と、BANDAI SPIRITS の公式サイトの「重要なお知らせ」に載っています。
何が起きたか
10 月 26 日の第 1 報で分かっていることです。バンダイナムコホールディングスによると、物流子会社のバンダイロジパルが管理するシステムに、第三者からの不正アクセスがあったことが 10 月 21 日（水）に分かりました。調べた結果、システムの中の一部の個人情報が漏洩した可能性があることを確かめています。
BANDAI SPIRITS は、バンダイナムコホールディングスの子会社です。「一番くじONLINE」の商品を届ける仕事を、バンダイロジパルに任せています。漏洩した可能性があるのは、この一番くじONLINE の配送情報です。
| 項目 | 内容 |
|---|---|
| 対象 | 「一番くじONLINE」の配送情報（氏名・住所・電話番号）。BANDAI SPIRITS がバンダイロジパルに商品配送の業務を任せているサービス |
| 件数 | 調査中。分かり次第知らせるとしている |
| 含まれないもの | クレジットカード情報 |
| 不正な使用 | 現時点で確認されていない |
| 書かれていないこと | いつの配送情報が対象か（期間）、メールアドレスやログインのパスワードが含まれるか、攻撃の手段 |
止まっているもの
安全が確かめられるまで、バンダイロジパルの出荷のシステムを止めています。システムを止めたことで影響が出る取引先には、10 月 26 日に知らせたとしています。
一番くじONLINE の注文や、商品の届く時期にどんな影響があるかは、第 1 報には書かれていません。出荷のシステムを再開するときと、件数など新しく知らせることが分かったときに、続報を出すとしています。
一番くじONLINE の利用者：自分が対象かの確かめ方
お知らせが対象として挙げているのは、一番くじONLINE の「配送情報」です。使い方ごとに、対象になりうるかの目安を並べました（この記事での整理）。いつの配送が対象かはお知らせに書かれていないので、これは目安です。最後は、案内と問い合わせ先で確かめてください。
| 使い方 | 目安とやること |
|---|---|
| 一番くじONLINE で当たった商品を配送してもらった | 配送情報（氏名・住所・電話番号）が対象になりうる。漏洩が疑われる人への注意の案内が届いていないかを確かめ、不審な連絡に気をつける |
| 家族などが注文し、自分の住所に届けてもらった | 配送情報は届け先の情報なので、届け先としての氏名・住所・電話番号が対象になりうる。注文した本人に案内が届いていないか聞いてみる |
| 会員登録だけで、配送を頼んだことはない | お知らせの対象は配送情報。会員登録だけの情報が含まれるかは書かれていないので、気になる場合は問い合わせ先で確かめる |
| お店で引く一番くじだけ | お知らせで名前が挙がっているのは一番くじONLINE の配送情報だけ。お店のくじについては書かれていない |
| バンダイナムコグループのほかの通販だけを使った | お知らせで名前が挙がっているサービスは一番くじONLINE だけ。ほかのサービスへの影響があるかどうかは書かれていない。続報を確かめる |
問い合わせ先は、お知らせの末尾にある「一番くじONLINE会員様のお問い合わせ先」で、一番くじONLINE のサイトのお問い合わせフォームです。メールや SMS のリンクからではなく、ブックマークや検索から一番くじONLINE を開いて使ってください。
不審な連絡への注意
お知らせの「お客様へのお願い」では、この件に関連して不審な電話や郵送物が届く可能性があるとして、心当たりのない連絡に十分注意するよう呼びかけています。漏洩した可能性があるのは氏名・住所・電話番号なので、それを使って届きうる連絡を、手段ごとにまとめました（この記事での整理）。
- 電話 一番くじやバンダイナムコを名乗り、「当選した」「返金する」「未払いがある」などと言って、カード番号や口座、ログインの情報を聞き出そうとする電話。いったん切って、自分で調べた公式の問い合わせ先から確かめる。
- 郵送物 名前と住所が正しく書かれた請求書や当選の通知。宛名が正しくても本物とは限らない。書かれた電話番号や URL には連絡せず、公式サイトの案内と照らし合わせる。
- SMS 電話番号あての「荷物をお届けできませんでした」「配送の確認」などの SMS。リンクを開かず、配送の状況は通販サイトや配送会社の公式サイト・アプリから確かめる。
求められても伝えないもの：クレジットカードの番号・セキュリティコード、暗証番号、ログインのパスワード、SMS で届いた認証コード（この記事での整理）。
配送を委託している事業者がやること
今回は、商品を売るサービス（一番くじONLINE）が、届ける仕事をグループの物流会社に任せていて、その物流会社のシステムに入り込まれました。中小のネットショップや通販でも、倉庫・発送代行・配送の会社に、お客様の名前・住所・電話番号を毎日渡しています。自社のシステムが無事でも、渡した先で事故が起きれば、お客様への説明が自社にも求められます（この記事での整理）。
委託先で漏洩したときの扱い（個人情報保護委員会のガイドライン）
法的な扱いを先に確かめておきます。個人情報保護委員会によると、個人データの扱いを外部に任せる事業者は、任せた先で安全管理が適切に行われるよう、必要かつ適切な監督をしなければなりません。報告の対象になる漏洩では、原則として任せた側（委託元）と任された側（委託先）の両方が委員会への報告と本人への通知の義務を負い、報告は連名でもできます。委託先が委託元に知らせた場合は、委託先の報告の義務が免除され、知らせを受けた委託元が報告します。
速報は事態を知ってからおおむね 3〜5 日以内、不正アクセスのように不正な目的によるおそれがある場合の確報は 60 日以内が目安です。委託先が委託元へ知らせる時期の目安も、委託先が知ってからおおむね 3〜5 日以内とされています。自社がどの扱いになるかは、委託先の案内や専門家に確かめてください。
物流会社に渡している顧客情報の点検表
商品の保管・発送・配送を外に任せている会社が、契約と日々の運用を見直すための点検表です（この記事での整理）。個人情報保護委員会のガイドラインは、委託の契約に安全管理の内容と、委託先での取り扱いの状況を委託元が把握できることを盛り込むことが望ましいとしています。
| 項目 | 確かめること |
|---|---|
| 渡す項目 | 届けるのに要る項目（届け先の氏名・住所・電話番号・品名）だけか。メールアドレス・購入金額・会員番号・生年月日など、配送に要らない項目まで出荷データに入れていないか |
| 保存期間 | 出荷が終わったデータを、委託先がいつまで持ち、いつ消すか。契約や覚書に書いてあるか。自社の側にも、送ったデータの写しが残り続けていないか |
| 渡し方 | 出荷データをメールの添付で送っていないか。受け渡しの画面やシステムは、決まった人しか使えないようになっているか |
| アカウント | 委託先のシステムに入るアカウントを、担当者ごとに分けているか。二段階認証を使っているか。辞めた人や使っていないアカウントを消しているか |
| 再委託 | 委託先が、さらに別の会社（配送会社・システム会社など）にデータを渡しているか。渡しているなら、どの会社に何を渡すか、事前に知らせてもらう取り決めがあるか |
| 事故の連絡 | 委託先が事故に気づいてから、何日以内に、自社の誰に、何を（対象の顧客・項目・期間）知らせるか。速報の目安（おおむね 3〜5 日以内）に間に合う取り決めか |
| 報告と案内の分担 | 個人情報保護委員会への報告を連名にするか、お客様へのお知らせと問い合わせの窓口をどちらが出すかを、前もって話しておく |
| 止まったとき | 委託先の出荷システムが止まったとき、出荷をどうするか（遅れの見込み・ほかの発送の方法）と、お客様への遅れの案内を誰がどこに出すか |
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 26 日 | 3 社の連名で第 1 報を公表。警察と個人情報保護委員会へ報告。漏洩が疑われる人への注意の案内と、システムの停止で影響が出る取引先へのお知らせを行った |
| 10 月 24 日 | 物流システムを止めた |
| 10 月 23 日 | 調査を続け、不正な操作の可能性が及ぶ範囲を特定。システム全体の調査と対策が終わるまでシステムを止めることを決め、停止の作業を始める |
| 10 月 22 日 | バンダイロジパルの社内に対策本部を置き、物流システム全体を調査。一番くじONLINE の配送情報が入っているサーバーに不正アクセスの疑いのある痕跡が見つかり、登録されているお客さまの情報の一部に漏洩の疑いがあると分かる |
| 10 月 21 日 | 物流システムの中のサーバーに不正アクセスの疑いのある痕跡を見つけ、すぐにそのサーバーを止めて調査を始める。同じ日に、同社のアカウントが不正に使われて操作されたことを確かめ、緊急の対策を行う |
技術的な詳細（システム担当者向け）
ここからは、物流や出荷のシステム、委託先とのデータの受け渡しを担当しているエンジニア向けです。第 1 報に書かれた技術的な点を、発表の言葉に沿って並べます。
| 観点 | 発表の内容 |
|---|---|
| 見つかったきっかけ | 10 月 21 日、物流システムの中のサーバーで不正アクセスの疑いのある痕跡を見つけ、そのサーバーを止めて調査を始めた |
| アカウントの不正使用 | 同じ日に、バンダイロジパルのアカウントが不正に使われて操作されたことを確認し、緊急の対策を行った |
| 漏洩が疑われるデータ | 10 月 22 日の物流システム全体の調査で、一番くじONLINE の配送情報が入っているサーバーにも不正アクセスの疑いのある痕跡が見つかった |
| 範囲の特定と停止 | 10 月 23 日に、不正な操作の可能性が及ぶ範囲を特定し、システム全体の調査と対策が終わるまで止めることを決めた |
| 発表に無いこと | 攻撃の手段・アカウントが使われた経緯（認証情報の入手の方法）・対象の期間と件数 |
止めた日の書き方には、お知らせの中で違いがあります。本文では、システム全体の点検と安全の確認を行い、安全性が確認できるまで、10 月 26 日（月）からバンダイロジパルの出荷システムを一時停止するとしています。一方、経緯の欄では、10 月 23 日に停止を決め、10 月 24 日（土）に物流システムを停止したと書かれています。この記事では、どちらもお知らせのとおりに載せています。
この記事での整理です。今回は「アカウントが不正に使われて操作された」と発表されています。委託先のシステムに入るアカウントは、担当者ごとに分け、二段階認証と接続元の制限をかけ、ログインと操作の記録を残しておくと、範囲の特定が早くなります。
自社で見直すこと
配送のように、お客様の名前や住所を外部の会社に渡す仕事は、通販をしているどの会社にもあります。事故のときに慌てないよう、次の 3 つを用意しておくと役に立ちます（この記事での整理）。
- お客様の情報を渡している先を一覧にする 倉庫・発送代行・配送会社のほか、ネットショップの仕組み・決済・フォーム・メール配信など、お客様の情報を渡している会社と、それぞれの事故のお知らせが載る場所を控えておく。
- お知らせのひな形と窓口を決めておく 何が起きたか・対象の情報・含まれない情報・問い合わせ先・不審な連絡への注意、の順に書くひな形を用意し、問い合わせを受ける人と、サイトにお知らせを載せる手順を決めておく。
- 自社からの連絡の手段を公式サイトに書いておく どのアドレスから、どんな内容のメールや SMS を送るか、電話でカード番号を聞くことはないか、を公式サイトに書いておくと、自社を名乗る連絡と見分けてもらいやすくなる。
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、使っているサービスや委託先の事故の情報を追い、お知らせの掲載や安全対策を公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
