フランスの物流大手CEVAロジスティクスがサイバー攻撃を受け、欧州8拠点の業務停止とともに「ポケモンセンター」や「Steam」など委託元荷主の顧客個人情報が流出する事態が発生しました。デジタル連携が進む物流サプライチェーンにおいて、委託先3PLが単一障害点（SPOF）となり、荷主企業のブランド価値や顧客信頼を直接毀損するリスクが浮き彫りとなっています。
CEVAロジスティクスへのサイバー攻撃と被害の全容
2026年7月末、フランスに本社を置き世界1,000カ所以上の物流拠点を展開する3PL大手CEVAロジスティクス（仏海運大手CMA CGMグループ傘下）の欧州システムが、外部からの不正アクセスを受けました。この攻撃により、物流インフラの停止に伴う物理的な配送遅延や注文キャンセルが発生しただけでなく、同社にフルフィルメントや配送業務を委託していたグローバル企業の顧客個人情報が流出する事態へと発展しました。
サイバー攻撃発生から情報流出公表までのタイムライン
本インシデントの発生から各社の公表、被害確認に至る一連の経緯は以下の通りです。
| 日付 | 発生事象・対応内容 |
|---|---|
| 2026年7月29日 | CEVAロジスティクスの欧州拠点システムに対する不正アクセス・サイバー攻撃が開始 |
| 2026年8月1日 | CEVAロジスティクスが荷主企業に対し、欧州8倉庫で保管・出荷業務が停止している旨を通知 |
| 2026年8月7日 | ゲームプラットフォーム「Steam」を運営するValveが、CEVAより顧客データ漏えいの可能性を把握 |
| 2026年8月10日 | Valveが欧州地域のSteamハードウェア購入者に対し、情報流出に関する注意喚起メールを送付 |
| 2026年8月17日 | ポケモンセンターが英国・ドイツ等の顧客向けに注文キャンセルおよび情報流出に関する通知を送付、各セキュリティメディアで報道 |
影響を受けた主な荷主企業と被害状況
CEVAロジスティクスの欧州倉庫停止およびデータ侵害は、ゲーム・キャラクターグッズECにとどまらず、百貨店や一般EC、スポーツ組織など多岐にわたる荷主企業へ波及しました。
| 荷主企業 / 組織 | 主な業種 | 被害内容と業務への影響 |
|---|---|---|
| Pokémon Center | キャラクターグッズEC（英・独向け） | 配送遅延に伴う一部注文のキャンセル。氏名、配送先住所、電話番号、メールアドレス、注文詳細の流出懸念 |
| Valve (Steam) | ゲームプラットフォーム（機器配送） | 欧州向けSteamハードウェア購入者の配送情報流出懸念。最大90日分の注文データが対象 |
| Bol | オランダEC大手 | フルフィルメントセンター2拠点のシステム停止に伴う入荷遅延、注文データ参照懸念 |
| De Bijenkorf | オランダ高級百貨店 | 顧客連絡先・注文詳細の漏えい懸念、返品および返金処理の大幅な遅延 |
| AFC Ajax | プロサッカークラブ | 公式グッズ等の出荷停止、注文処理の遅延 |
流出データの種別と「配送情報90日間保持」の論点
ポケモンセンターやValveが公表した内容によると、今回のインシデントで流出した可能性があるデータ項目は以下の通りです。
- 顧客の氏名
- 配送先住所
- 電話番号
- メールアドレス
- 注文内容の詳細情報（購入商品名、数量など）
CEVAロジスティクス側は決済情報（クレジットカード番号等）やアカウント認証情報（パスワード等）へのアクセス権限を保有しておらず、これらの機微な金融データの流出は明確に否定されています。
しかし、本件で特に注目されているのが「3PL事業者による配送情報の保持期間」です。Valveの顧客向け通知により、CEVAロジスティクスが配送完了後も最大90日間にわたり顧客の配送データをシステム内に保持していたことが明らかになりました。攻撃発生の約3カ月前に注文を完了していたユーザーの個人情報までが攻撃者の手に渡るリスクに晒された形となり、委託先におけるデータ保持ポリシーの妥当性が問われる契機となっています。
参考記事: サイバーセキュリティとは？物流現場を守る基礎知識と最新対策完全ガイド
サプライチェーン各層へ及ぶ連鎖的リスクと業界影響
物流の現場が高度にデジタル化し、荷主のECカートシステム、受発注管理システム（OMS）、3PLの倉庫管理システム（WMS）、配送事業者の配送追跡システムがシームレスにAPI連携される現代において、一箇所のセキュリティ破綻はサプライチェーン全体に致命的な連鎖反応を引き起こします。
EC事業者・ブランド企業：委託先リスクの顕在化とブランド毀損
EC事業者にとって、フルフィルメント業務を外部の3PLへ委託することは、コア業務（商品開発・マーケティング）への集中と配送品質向上のための合理的な経営判断でした。しかし、本インシデントは「自社のサーバーやECサイトが堅牢であっても、委託先物流が侵害されれば顧客情報が流出し、ブランド価値が損なわれる」という委託先リスクの深刻さを証明しました。
1. 顧客信頼の喪失と注文キャンセルの発生
ポケモンセンターの事例では、データ漏えい懸念にとどまらず、欧州倉庫の機能停止に伴って顧客の注文が強制キャンセルされる事態に至りました。ECユーザーにとって、購入した限定商品や楽しみにしていたグッズが「物流拠点のサイバー攻撃」によってキャンセルされることは、ブランド体験を大きく損なう要因となります。
2. データ保持ポリシーの管理不全によるリスク拡大
委託先が配送完了後の個人データをどの程度の期間、どのような状態で保持しているかを荷主側が把握・コントロールできていなければ、漏えい時の被害規模は際限なく拡大します。今回のSteamハードウェアの事例のように、90日間という長期間のデータ保持がデフォルトで行われていた場合、過去に一度だけ利用した休眠顧客まで巻き込まれることになります。
参考記事: SCRM（サプライチェーンリスクマネジメント）とは？BCPとの違いや5つの構築ステップをわかりやすく解説
倉庫事業者・3PL企業：「荷物」から「情報」を預かる責任へのシフト
3PLや倉庫事業者にとって、サイバーセキュリティ対策はもはやバックオフィスのIT課題ではなく、荷主から業務を受託するための「必須の事業要件（ライセンス）」へと変化しています。
1. WMS停止に伴う入出庫・マテハン機能の麻痺
近年の物流拠点は、バーコードスキャナ、自動倉庫、AGV（無人搬送車）などがWMSと密接に連携しています。サイバー攻撃によって社内ネットワークが遮断されたりデータが暗号化されたりすると、「どの棚に何があり、どこへ出荷すべきか」の指示が完全に失われ、広大な倉庫内の物理オペレーションが完全に沈死します。CEVAの欧州8拠点が同時に操業停止に追い込まれた事実は、拠点間のネットワーク分離が不十分であった可能性も示唆しています。
2. 荷主からのセキュリティ監査と選別圧力の強化
今後、グローバル企業や大手EC事業者が3PLを選定する際、保管料やピッキング単価といったコスト面だけでなく、ISO/IEC 27001などの情報セキュリティ認証の取得状況、ゼロトラストアーキテクチャの導入、委託先監査への適合性が最重要の選定基準となります。セキュリティ投資を怠る物流事業者は、大手荷主のサプライチェーンから排除されるリスクに直面します。
参考記事: サイバー攻撃が生む連鎖リスク、株式会社ニチレイ7月13日障害と防衛の必須対応
サプライチェーン全体：単一障害点（SPOF）化する物流デジタル網
物流が効率化を求めて特定の巨大3PLや共通プラットフォームへ集約されるほど、そこが攻撃を受けた際の社会的影響は激甚化します。
1. 多国籍・複数業界を巻き込む「もらい事故」の連鎖
CEVAロジスティクスへの攻撃が、ゲーム、玩具、高級百貨店、銀行、プロスポーツチームといった全く異なる業種の企業群へ同時に波及したように、巨大3PLはサイバー犯罪者にとって「一撃で無数の企業と個人データを攻略できる魅力的な結節点」となっています。
2. 物理的供給網とサイバー空間の相互依存
物流インフラへのサイバー攻撃は、画面上のデータトラブルにとどまらず、トラックの荷待ち滞留、港湾や空港での荷動き停止、店頭での欠品など、物理空間の実体経済を即座に麻痺させます。物流事業者は自らが「重要インフラの防衛拠点」であることを強く再認識する必要があります。
参考記事: ニチレイや佐川7万人影響の2026年7月事案に見る物流BCP
LogiShiftの視点：3PLのSPOF化とデータガバナンスの再定義
CEVAロジスティクスの事案が突きつけた本質的な課題は、物流のデジタル化によって3PL事業者が「サプライチェーンの単一障害点（SPOF）」と化している点にあります。この構造的リスクに対し、企業がとるべき戦略的アプローチを考察します。
配送データの「最小化」と「即時マスキング」の原則導入
荷主企業と3PL事業者のデータ連携において、最も早急に見直すべきは「不要な個人データを委託先に残さない」アーキテクチャの構築です。
データ保持期間の最短化
配送完了のステータスが確定したデータは、追跡確認に必要な一定期間（例えば7〜14日間）を経過した段階で、自動的に削除または個人を特定できないハッシュ値へ変換する仕組みを標準化すべきです。Steamの事例で指摘された「90日間の保持」は、サイバー攻撃を受けた際のリスクを不必要に高めていました。
配送ラベル生成後の情報分離
WMS内で注文処理を行う際、ピッキングや検品の現場作業員に必要なのは「SKUと数量」であり、顧客の氏名や電話番号、メールアドレスである必要はありません。送り状（配送ラベル）の発行プロセスと倉庫管理プロセスを論理的に分離し、顧客の個人情報が長期間WMSのデータベースに平文で蓄積される状態を解消することが有効な防壁となります。
業界横断の「流通ISAC」等を通じたエコシステム型集団防衛
高度化するサイバー攻撃組織に対抗するためには、自社単体での防御（個別最適）から、業界全体で脅威情報を共有する「集団防衛」への移行が急務です。
日本国内においても、大手製造・卸・小売・物流企業が参画する「一般社団法人 流通ISAC」が設立されるなど、サプライチェーンを横断した情報共有の枠組みが始動しています。特定の物流拠点やシステムで検知された不審なアクセスパターンや脆弱性の情報をリアルタイムで共有し、他社が先回りして防御パッチを適用するエコシステムを機能させることが、連鎖的なサプライチェーン停止を防ぐ鍵となります。
参考記事: アサヒグループジャパンなど10社が2026年4月に流通ISAC設立、共倒れ防ぐ
「システム停止」を織り込んだBCPと手作業代替運用の確立
多層防御を施しても、未知の攻撃やゼロデイ脆弱性によるシステムダウンを確率ゼロにすることは不可能です。真の事業継続力（レジリエンス）とは、システムが完全に停止した状況を前提とした「縮退運転・手作業運用」の能力にほかなりません。
過去に国内大手メーカーや物流企業がサイバー攻撃を受けた際も、最終的に出荷や配送の完全停止を防いだのは、紙のピッキングリストや仮送り状を用いた泥臭い現場の代替運用力でした。平時から基幹システムがダウンした状況を想定し、オフラインのローカルデータから手作業で緊急出荷を行う「デジタル災害訓練」を定期的に実施しておくことが、致命的な事業停止を回避する防波堤となります。
参考記事: アサヒグループの2日間の生産停止に直結したサイバー攻撃とBCPの必須対応
まとめ：明日から物流現場・経営層が取り組むべき3大アクション
CEVAロジスティクスを襲ったサイバー攻撃と顧客情報流出は、グローバルに展開するすべての荷主企業および3PL事業者にとって対岸の火事ではありません。明日から現場と経営層が実行に移すべき具体的アクションを整理します。
- 外部委託先におけるデータ保持期間と保管ルールの緊急総点検
自社が物流や配送を委託している3PL・倉庫事業者に対し、顧客の個人情報（氏名・住所・連絡先等）が配送完了後どのくらいの期間保持されているかを直ちに棚卸しし、不要なデータの自動削除やマスキング処理の義務付けを契約条項へ盛り込んでください。 - 物流拠点ネットワークの論理的セグメンテーション（隔離設計）の徹底
特定の一拠点やサーバーがランサムウェア等の攻撃を受けた際に、全倉庫や受発注システムへ横展開（ラテラルムーブメント）されないよう、拠点間ネットワークの厳格な分離とアクセス権限の最小化（ゼロトラスト）を実施してください。 - WMS全停止を想定した「紙と手作業」による代替出荷訓練の定期実施
サイバー攻撃によりWMSやAPI連携が完全に機能を失った状況を想定し、ローカルバックアップからの手作業ピッキングや緊急用送り状での出荷手順をマニュアル化し、年1回以上の実地シミュレーション訓練を行ってください。
出典: TECH+（テックプラス）
出典: BleepingComputer (Pokemon Center)
出典: BleepingComputer (Valve Steam)
出典: TechRadar Pro
