通販サイトで商品を購入した人や、商品を贈り物として受け取った人にも関係する情報漏えいが発生しました。物流サービスのオープンロジは2026年11月11日、同社システムへの不正アクセスによって、配送先の氏名・住所・電話番号・メールアドレスや商品名・数量などを含む出荷データの一部が外部に持ち出されたと発表しました。
オープンロジは一般の購入者が直接利用する通販サイトではなく、ネットショップの保管・発送を引き受ける会社です。そのため、「オープンロジを使った覚えがない」人でも、購入したショップが発送を委託していれば関係する可能性があります。
まずは購入先の公式発表・注文履歴を確認してください。ただし、2026年4月8日～11月8日の出荷依頼データの一部が対象であり、この期間に通販を利用した全員の情報が漏れたという発表ではありません。影響件数は調査中です。クレジットカード番号はオープンロジが保有していないため、今回の漏えい対象に含まれません。
11月13日の続報：東映アニメーションは「東映アニメーションオンラインくじ」の配送先情報3,358件の持ち出しを確認。Brave groupは「ぶいすぽっ！」や「HIMEHINA MART」など11の公式通販サイトが影響対象となる可能性を発表しました。購入者のメールアドレスと、荷物を受け取る人の配送先情報は区別して確認してください。
最終確認・更新：2026年11月14日（日本時間）。オープンロジ（11月11日）と、東映アニメーション・Brave group（11月13日）など各社の一次情報を確認しています。オープンロジ全体の漏えい件数と侵入経路は引き続き調査中です。
自分の情報は漏れた？対象者の確認方法
現時点で、自分の氏名やメールアドレスを入力して対象かどうか判定できる公式の照会ページは確認できていません。次の順番で確認しましょう。
- 2026年4月8日～11月8日ごろの注文・発送履歴を確認する。なお、オープンロジの公表する期間は「購入日」ではなく「出荷依頼データ」の期間です。
- 利用した通販サイトやファンクラブの公式サイトのお知らせを確認する。ショップ名と「オープンロジ」「情報漏えい」「発送委託先」などを組み合わせて調べる方法もあります。
- 購入先からの個別通知の有無を確認する。ただし、通知が届いていないことだけで対象外とは判断できません。
- 対象か不明な場合は、メール内のリンクではなく、購入先の公式サイトに掲載された問い合わせ窓口から確認する。
購入者とお届け先が別の場合、贈り物を受け取った人の住所や電話番号もデータに含まれ得ます。「自分ではそのショップで買っていない」というだけで対象外とは限りません。
オープンロジ情報漏えいの対象通販サイトは？影響企業一覧
11月14日時点で一次情報を確認できた主な公表先をまとめました。オープンロジで出荷データの一部が持ち出されたことは確定していますが、各通販サイトについては「持ち出し確認」「漏えいの可能性」「件数を調査中」が混在します。一覧にない店舗が安全と確定したわけではなく、下表を全対象店舗の一覧と捉えないでください。
| 企業・サービス | 判明している影響と対象確認 |
|---|---|
| 東映アニメーションオンラインくじ | 配送先情報3,358件の持ち出しを確認。未出荷の引き換え商品も含む。対象者には個別メールで通知する方針。 |
| Brave group（ぶいすぽっ！、HIMEHINAなど） | グループの出荷データの一部が持ち出されたと公表。11の公式通販サイトが対象となる可能性。サイト別件数は未公表。 |
| BONX | 最大1,144件の配送データが対象となる可能性。確定漏えい人数ではない。Amazon・楽天等で購入手続きが完結した利用者は対象外と案内。 |
| Bitfan（SKIYAKI） | グッズ保管・発送の委託に伴う出荷データが関係。影響の詳細を調査中。 |
| CURRY UP（HUMAN MADE） | 物流委託に伴う対象者情報の漏えいの可能性を公表。HUMAN MADEの全商品・全ストアが対象と断定しない。 |
| PEAK BLUE | 一部の即納商品に関係すると案内。OUTLET商品は対象外とする公表あり。 |
| REALITY Studios official shop | VTuber関連グッズの配送先情報が流出した可能性。対象件数は調査中。 |
| SPWN | 商品の配送を伴う注文・お届け先が対象となる可能性。チケット・デジタルコンテンツのみの購入者は対象外。 |
| VAZ「Mel:See from classroom」 | 委託先から持ち出された情報に同サービスの利用者の配送先情報が含まれることを確認。 |
| Palette Project OFFICIAL STORE | オープンロジの出荷データに含まれる利用者情報が流出した可能性。調査中。 |
これらはオープンロジを起点とした同一の不正アクセスに関連する発表です。上記企業の通販システムが個別に侵害されたと意味するものではありません。また、各社が示す「件数」は注文・配送データの件数と人数が一致するとは限らず、合算してオープンロジ全体の漏えい人数とはできません。
東映アニメーションオンラインくじ：3,358件の配送先情報が流出
東映アニメーションは11月13日、「東映アニメーションオンラインくじ」に関する配送先情報3,358件が、実際に持ち出されたデータに含まれていたと公表しました。同サービスはアカツキの「Slash Gift」を利用しており、商品の保管・出荷をアカツキの委託先であるオープンロジが担当していました。
対象は2026年4月8日～11月8日に同サービスのくじを購入して引き換える商品のお届け先情報で、未出荷の商品も含まれます。持ち出された項目は、配送先の氏名・住所・電話番号、購入元ストア名、商品数量、配送追跡番号、注文番号（引き換え番号）、配送データ連携日時・出荷日です。東映アニメーションの対象データにはメールアドレスとクレジットカード情報は含まれません。これはオープンロジ全体の情報項目と混同しないでください。
対象者へは、アカツキが「東映アニメーションオンラインくじ」名義で登録先メールアドレスに個別連絡する方針です。ただし、配送番号を知る第三者が実在の注文を装うおそれもあるため、通知メール内のリンクを無条件に信用せず、東映アニメーション公式案内から確認してください。
Brave group：ぶいすぽっ！など11の公式通販サイトが対象となる可能性
Brave groupは11月13日、グループに関する出荷データの一部がオープンロジから持ち出されたと発表しました。以下の11サイトが「対象の可能性がある」サービスとして挙げられています。すべてのサイトで個別の漏えい件数が確定したという意味ではありません。
- ぶいすぽっ！オフィシャルオンラインストア
- ゆにれいど！ OFFICIAL STORE
- YUMENOS OFFICIAL STORE
- RIOT MUSIC OFFICIAL STORE
- RIONECTION OFFICIAL STORE
- AMICIS
- Xross Stars Official Online Store
- HIMEHINA MART
- Neo-Porte official Shop
- GΔ59 OFFICIAL ONLINE STORE
- Brave group US Official Store
対象になり得るのは2026年4月8日～11月8日に同社が出荷を依頼したデータに含まれる、氏名・住所・電話番号・登録されている場合のメールアドレス・商品名や数量などです。Brave groupは11月10日に連絡を受け、認証情報の再設定などを行ったと説明しています。Brave groupの公式発表を確認してください。
SPWN・BONXなどは対象条件が異なる
SPWNは、チケットやデジタルコンテンツの購入だけで配送がない場合は対象外と案内しています。購入日が対象期間より前でも、2026年4月8日～11月8日に出荷依頼された注文は対象となり得ます。BONXは、最大1,144件という件数を「対象となる可能性のあるデータ」の上限として公表しています。サービスごとに除外条件や通知方法が違うため、購入先の公式案内を確認することが重要です。
流出したのは何の情報？カード番号やパスワードは？
| 情報の種類 | 2026年11月11日の公表内容 |
|---|---|
| お届け先の氏名・住所・電話番号 | 漏えいを確認した情報に含まれる |
| お届け先のメールアドレス | 登録されている場合は含まれる |
| お届けする商品名・数量など | 含まれる |
| クレジットカード番号 | オープンロジは保有しておらず、今回の漏えい対象外 |
| ログインパスワード | 今回公表された漏えい項目には記載なし。パスワード流出の有無を断定する追加情報は未確認 |
| 漏えい件数・人数 | 調査中 |
今回特に気を付けたいのは、連絡先だけでなく「何を買ったか」という商品情報も含まれている点です。実際の購入品を知っているかのように装って連絡する詐欺が考えられます。ただし、本件の漏えい情報を利用した詐欺がすでに発生したという事実は、11月11日時点で確認されていません。
今すぐすることは？偽の配送通知・SMSへの対策
オープンロジも、配送業者などを装ったメール・SMS・電話への警戒を呼びかけています。購入品名や氏名、住所を相手が知っていても、それだけで本物の配送業者とは判断できません。
- 「再配達の手続き」「住所の再確認」「送料の未払い」などのリンクを安易に開かない。
- 荷物の確認は、受信したメッセージからではなく、注文履歴や配送会社の公式アプリ・公式サイトを開いて行う。
- 購入店を名乗る相手からカード番号・パスワード・SMS認証コードを求められても、返信・入力しない。
- 覚えのない配送通知や不審な電話を受けた場合は、購入店の公式窓口で確認する。
- 個人情報流出を口実に「確認費用」「補償の受け取り手数料」などを請求されても支払わない。
不審なリンク先で情報を入力してしまった場合
状況に応じて対応が変わります。パスワードを入力した場合は、そのサービスの公式サイトからすぐに変更し、同じパスワードの使い回し先も変更してください。カード番号を入力した場合は速やかにカード会社に連絡してください。リンクを開いたのみで、情報入力やアプリ導入をしていない場合は、一般に被害リスクは比較的低いとされています。
この対応は今回の事故でカード番号が漏れたという意味ではなく、事故に便乗したフィッシングへの備えです。詳しくはIPA「不正ログインによる被害が増加中」も参考になります。
なぜ知らない物流会社から通販情報が漏れるのか？仕組みを解説
ネットショップは商品を売るだけでなく、商品の保管・梱包・発送を外部の物流会社に委託することがあります。配送に必要な宛先や商品情報が物流側へ渡されるため、利用者が直接アカウント登録していない委託先にも個人情報が存在する仕組みです。
| ① 通販サイト 購入・出荷を受け付ける | ② 物流委託先 送り先・商品情報を用いて梱包、出荷 | ③ お届け先 荷物を受け取る |
| 今回の確認済み事実：②に当たるオープンロジのシステムが不正アクセスを受け、一部の出荷データが外部に持ち出されました。 | ||
再委託がある場合は影響先がさらに広がります。東映アニメーションオンラインくじでは「東映アニメーション → オンラインくじ運営基盤（アカツキ） → 出荷業務の再委託先（オープンロジ）」という委託関係です。各通販サービスが個別に侵害されなくても、共通の物流基盤に保存された配送データが被害に遭うと、複数のショップの利用者へ影響が及びます。これは業務委託・再委託を通じた情報流出リスクの具体例です。
今回の発表で確認できるのはオープンロジ側のシステムへの不正アクセスと出荷データの持ち出しです。パスワードの盗用、脆弱性の悪用、特定の管理画面への侵入など、攻撃の詳しい方法は公表されていません。発表のない侵入経路を原因として断定することはできません。
企業の情報システム担当者は、自社がオープンロジへ送信した出荷データの対象期間・項目・件数を照合し、対象者通知や関連サービスへの連絡体制を確認することが重要です。今後の調査結果に応じて、委託先のアクセス権限、データ保管期間、監視・事故通知手順も点検する必要があります。
オープンロジの対応・配送への影響
- 11月8日～9日：第三者からの不正アクセスを確認。出荷データの一部が外部へ持ち出される。
- 11月9日：把握している不正アクセス経路を遮断。その後の新たな不正アクセスは確認されていないと説明。
- 11月11日：個人情報の漏えいを公表。件数、原因、侵入経路、影響範囲について外部の専門機関と調査を継続。
11月13日：東映アニメーションは3,358件の持ち出しを確認、Brave groupは11の公式通販サイトを影響候補として公表しました。影響を公表した他社の件数を足して、オープンロジ全体の流出人数とすることはできません。
倉庫での入荷・出荷業務は、緊急メンテナンスに伴う一部操作の影響を除き、通常どおりと説明しています。11月11日時点で、本件に起因する具体的な二次被害は確認されていません。同社は個人情報保護委員会への報告と警察への相談を進めるとしています。
よくある質問
オープンロジという名前を知らないのですが、関係ありますか？
あります。通販サイトが発送業務を委託している場合、購入者がオープンロジと直接契約していなくても、配送データが扱われることがあります。利用したショップの公式お知らせを確認してください。
2026年4月8日～11月8日に買い物をした人は全員対象ですか？
いいえ。公表されているのはその期間に出荷依頼されたデータの一部です。通販全体の注文ではなく、オープンロジに委託された出荷データが対象です。対象者の確定や件数は調査中です。
クレジットカードを停止・再発行する必要がありますか？
オープンロジはカード番号を保有しておらず、今回の漏えい対象には含まれないと説明しています。今回の公表だけを理由に一律にカードを停止する必要があるとは案内されていません。ただし、不審なサイトにカード情報を入力した場合は、カード会社へ相談してください。
パスワードは変更すべきですか？
今回公表された漏えい項目にはログインパスワードの記載はありません。直ちに全通販サイトのパスワード変更が必要と示す情報は確認できません。ただし、不審なリンク先で入力してしまった場合や不審なログイン履歴がある場合は、公式サイトから変更してください。
東映アニメーションの3,358件に自分も含まれていますか？
対象者には「東映アニメーションオンラインくじ」名義で個別に連絡する予定と発表されています。今回の3,358件は配送先情報の件数で、全購入者の人数とは限りません。通知がない場合も、利用履歴を確認し、必要なら公式サイトの窓口へ問い合わせてください。
ぶいすぽっ！でグッズを買ったら、必ず漏えいしていますか？
いいえ。Brave groupは、ぶいすぽっ！を含む11通販サイトを「対象の可能性があるサービス」として挙げていますが、全購入者・全注文の漏えいを確定したわけではありません。対象期間の出荷依頼と公式発表の更新状況を確認してください。
まとめ：まず購入先の公式案内を確認し、不審な配送連絡に注意
今回の事故は、通販サイトではなく、配送情報を預かる物流委託先で起きた不正アクセスです。東映アニメーションの3,358件は持ち出しが確認されています。一方、Brave groupでは11の通販サイトが影響候補であり、サイト別・利用者別の確定件数は示されていません。オープンロジ全体の件数や侵入経路も未確定です。まず購入先の公式案内を確認し、注文番号や追跡番号を知る相手からの連絡であっても、不審な配送通知・SMSのURLから決済情報やパスワードを入力しないようにしましょう。
関連記事：ホテル予約情報の漏えいと偽メール対策／「安全ではありません」と表示されたサイトの見分け方
出典・更新履歴
- 株式会社オープンロジ：不正アクセスによる個人情報漏えいのお詫びとお知らせ（11月11日）
- 東映アニメーション：物流委託先への不正アクセスと3,358件（11月13日公表）
- Brave group：委託先による不正アクセスと対象サービス一覧（11月13日）
- BONX：対象となる可能性がある最大1,144件（11月11日）
- SPWN：配送のある注文の対象条件と通知方法（11月12日）
- REALITY Studios：公式ショップへの影響の可能性（11月11日）
- Palette Project：公式ストアへの影響の可能性（11月11日）
- VAZ：Mel:See from classroomの情報漏えい（11月12日）
- SKIYAKI：Bitfanの物流委託先に関する第一報（11月11日）
- PEAK BLUE：物流委託先への不正アクセス（11月11日）
- WWDJAPAN：HUMAN MADE「CURRY UP」関連報道（11月11日）
- IPA：不正ログイン・フィッシングの対処法
初回公開：2026年11月11日。更新・一次情報再確認：2026年11月14日。主な更新点：東映アニメーションの3,358件、Brave groupの11通販サイト、BONX・SPWNなどの対象条件、公表先一覧・FAQ・技術解説を追記。現在調査中：オープンロジ全体の漏えい件数、各社で未確定の対象者、攻撃手法・侵入経路。
