株式会社バンダイナムコホールディングスは2026年10月26日、物流子会社の株式会社バンダイロジパルが管理する物流システムが不正アクセスを受け、オンラインくじサービス「一番くじ ONLINE」の配送情報が漏えいした可能性があると発表しました。漏えい対象には氏名、住所、電話番号が含まれる一方、クレジットカード情報は対象外であり、安全確認のため10月24日より対象システムの稼働を停止しています。
バンダイロジパル不正アクセスの発生経緯と流出データの実態
本インシデントは、株式会社BANDAI SPIRITSがバンダイロジパルへ委託している「一番くじ ONLINE」の配送業務基盤において発生しました。バンダイロジパルの社内アカウントが不正利用された形跡が確認され、配送情報を格納するサーバにも不正アクセスの疑いのある痕跡が見つかっています。
不正アクセス検知から公表までのタイムライン
社内調査から監督官庁への報告、公表に至る一連の対応推移は以下の通りです。
| 日付（2026年） | 発生事象および対応内容 |
|---|---|
| 10月21日 | 物流システム内サーバで不審なアクセスの痕跡を発見し、該当サーバを遮断。アカウント不正利用を確認 |
| 10月22日 | 社内に対策本部を設置。配送情報サーバへの不正アクセスの疑いのある痕跡を確認 |
| 10月23日 | 対象物流システムの停止を決定 |
| 10月24日 | 配送情報格納サーバを含む対象システムの稼働を停止 |
| 10月26日 | 警察および個人情報保護委員会へ報告。第1報を対外公表し、出荷業務を一時停止 |
2022年4月に完全施行された改正個人情報保護法では、個人の権利利益を害するおそれが大きい漏えい事案について、個人情報保護委員会への報告および本人への通知が義務付けられています。同社グループはこれに基づき、10月26日付で行政報告を完了させ、顧客に対して不審な電話や郵送物への警戒を呼びかけています。
対象データ項目とインフラの停止状況
漏えいした可能性がある情報およびシステムの稼働状況は以下の通り整理されています。
| 項目 | 該当状況および詳細 |
|---|---|
| 流出の可能性がある情報 | 「一番くじ ONLINE」配送情報（氏名、配送先住所、電話番号） |
| 決済・金融情報 | クレジットカード情報は含まれていないことを確認 |
| 被害件数 | 現在詳細を調査中 |
| 不正利用被害 | 公表時点で不正利用等は確認されていない |
| 物流インフラ稼働状況 | 10月24日に対象システム停止。10月26日よりバンダイロジパルの出荷システムを一時停止中 |
参考記事: サイバーセキュリティとは？物流現場を守る基礎知識と最新対策完全ガイド
サプライチェーン各プレイヤーへ及ぶ具体的な影響
本件は、3PL事業者および倉庫拠点がサイバー攻撃の侵入経路となり、荷主企業のEC事業と顧客基盤に影響を及ぼした事案です。サプライチェーンを構成する主要プレイヤーには以下の影響が生じます。
倉庫事業者・3PL：アカウント管理の不備が招く拠点操業の強制停止
物流拠点で利用する社内アカウントが奪取された場合、侵入者は正規の権限を装ってWMS（倉庫管理システム）や配送指示基盤の内部へ横展開します。本件でも2026年10月21日にアカウントの不正利用が確認されたのち、配送情報サーバへの不正アクセスの疑いのある痕跡が見つかりました。
特権IDの使い回しや多要素認証（MFA）の未適用、退職者アカウントの放置といった認証基盤の脆弱性は、サイバー攻撃者にとって容易な侵入経路となります。一度不正アクセスを許すと、フォレンジック調査と安全確認が完了するまでシステムの停止を余儀なくされ、入出荷オペレーションが直接停止に追い込まれます。
参考記事: CEVA物流の欧州8拠点停止、ポケモン等の情報流出に見る委託先リスク
EC事業者：委託先経由のデータ侵害と物理的出荷の麻痺
EC事業を展開する荷主企業は、フルフィルメント業務を外部委託している場合でも、個人情報保護法上の委託先監督責任を負います。配送先データには顧客の氏名、住所、電話番号といった配送メタデータが含まれており、これらが流出した場合、配送業者を装ったフィッシング詐欺などの二次被害リスクが発生します。
さらに、委託先物流企業が調査のためにシステムを遮断すると、出荷機能が物理的に停止します。BANDAI SPIRITSにおいても、バンダイロジパルの出荷システム一時停止に伴い、商品の発送遅延や顧客対応コストの増加といった事業オペレーション上の制約を受けることになります。
参考記事: Ceva Logisticsの欧州8拠点データ流出から学ぶ対策
LogiShiftの視点：物流システムが抱える構造的弱点とデータ保持の是正
EC市場の拡大に伴い、受発注管理システム（OMS）と物流子会社や3PLのWMSはAPIやデータ連携で密接に接続されています。しかし、流通の川上から川下をつなぐ結節点である物流システムは、本社の基幹システムに比べてセキュリティ投資が遅れやすく、サプライチェーン全体のセキュリティホールとして標的となる構造的課題を抱えています。
本件における重要な論点は、配送完了後における個人情報の保持期間です。物流現場では不着対応や返品処理を名目に、出荷完了後の配送データを長期間WMS内に蓄積し続ける運用が常態化しがちです。しかし、配送伝票データが単一のサーバに滞留し続けることは、攻撃者に対する露出面（アタックサーフェス）を広げる要因となります。
委託元である荷主企業と3PL事業者は、出荷伝票の発行・配送完了から一定期間（例：受取確認後14日など）が経過した個人データを自動でマスキングまたは消去するデータライフサイクル管理のプロトコルをシステム上に実装する必要があります。
参考記事: 相次ぐサイバー被害で露わになる物流停止リスクについて｜物流業界への影響を徹底解説[企業はどう動く？]
まとめ：明日から自社で確認すべき実務項目
- 物流システム・WMSへアクセスする全アカウントの点検
業務委託先や現場端末を含め、不要な休眠アカウントの即時削除、パスワード使い回しの禁止、および多要素認証（MFA）の適用状況を棚卸ししてください。
- 配送データの保持期間と削除ルールの見直し
配送完了後の伝票データが自社サーバや委託先環境に何日間保管されているかを確認し、業務上必要な最短期間での自動削除・不可逆マスキング手順を取り決めてください。
- システム停止時における出荷代替手順の策定
不正アクセス検知に伴い基幹ネットワークを即座に遮断した場合でも、緊急性の高い出荷を限定的に処理できるオフライン伝票運用の可否を検証してください。
出典: ITmedia NEWS
出典: バンダイナムコホールディングス
