ネット通販の事業者から商品の保管と発送を請け負うオープンロジ（東京都豊島区）は11月11日、同社のシステムが外部から不正アクセスを受け、預かっていた出荷データの一部が持ち出されたと発表した。不正アクセスは11月8日から9日にかけて起きた。持ち出された情報には、4月8日から11月8日までに依頼を受けた出荷の届け先の氏名、住所、電話番号、メールアドレス、商品名や数量が含まれる。対象の範囲と件数は調査中としている。同社に物流を委託する通販事業者も同日以降、自社の購入者の情報が含まれる可能性があると相次いで開示した。

7カ月分の出荷データ、届け先の氏名や商品名

オープンロジの発表によると、不正アクセスで外部に持ち出されたのは、同社が保有する出荷データの一部だ。現時点で確認できた漏えいの対象は、2026年4月8日から11月8日までに委託元から依頼を受けた出荷のデータで、次の届け先の情報が含まれる。

項目 内容
氏名 お届け先の氏名
住所 お届け先の住所
電話番号 お届け先の電話番号
メールアドレス 登録されている場合
商品情報 商品名、数量など
持ち出された出荷データに含まれる届け先の情報

出典: オープンロジ「当社システムへの不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026年11月11日）

対象となる情報の範囲と件数は、引き続き調べているという。同社はクレジットカード番号を保有しておらず、カード番号は漏えいの対象に含まれない。

漏えいしたのは、通販で商品を買った人そのものではなく、荷物の「届け先」の情報だ。購入者が自宅に届けさせた場合は購入者本人の情報になり、贈り物として別の人に届けた場合は、その受取人の氏名や住所が含まれることになる。商品名と数量も対象のため、誰がどの商品を受け取ったかが分かる形で持ち出されたことになる。

同社は、11月11日時点で漏えいした情報の悪用や二次被害は確認されていないとしている。

経路は9日に遮断、倉庫の出荷は通常どおり

オープンロジは、不正アクセスに気づいた後の対応も説明した。11月9日に、その時点で把握している不正アクセスの経路を遮断した。それ以降、新たな不正アクセスは確認されていない。システムの安全性を確かめるため緊急メンテナンスを行っており、それに伴って一部のシステム操作に影響が出ているが、倉庫での入荷と出荷の業務は通常どおり続けているという。

委託元のHUMAN MADE（東証グロース）が同日に出した開示文書には、オープンロジから受けた説明として、より具体的な措置が書かれている。それによると、オープンロジは11月9日に攻撃元の遮断、日本国外からのアクセスの制限、全ユーザーのログイン状態のリセットなどを行った。

侵入の原因と経路、影響の範囲は、外部のセキュリティ専門機関と連携して調べている。個人情報保護委員会への報告と警察への相談も「進めてまいります」としている。調査結果を踏まえて、システムのセキュリティ対策、アクセス管理、監視体制、運用管理を見直し、再発防止策をまとめる方針だ。新たな事実が分かれば、同社のウェブサイトなどで知らせるとしている。問い合わせは専用のメール窓口で24時間受け付け、回答は平日の午前8時30分から午後5時までに順次行う。

委託元の通販が相次ぎ開示、「CURRY UP」や「Bitfan」

オープンロジは2013年12月に設立され、2014年10月にサービスを始めた。同社の会社概要によると、ネット通販で多くを占める中小規模の事業者を主な対象に、倉庫の空きスペースを使って商品の保管から出荷までを代行する。通販事業者は在庫を同社の倉庫に預け、注文が入ると出荷データを同社のシステムに送り、倉庫から購入者のもとへ荷物が届く。このため1社のシステムへの不正アクセスが、委託している多くの通販事業者の購入者に及ぶ。オープンロジ自身の発表は、どの委託元が対象になるかを示していない。

11月11日以降、委託元が自社の購入者に関わる情報を相次いで開示した。

HUMAN MADEは、自社が展開するブランド「CURRY UP」の物流をオープンロジに委託していた。CURRY UPのECサイトで購入された商品の、4月8日から11月8日までの出荷データに含まれる届け先の氏名、住所、電話番号、メールアドレス、商品情報が漏えいした可能性があるとした。「HUMAN MADE」など他のブランドへの影響は無く、自社のシステムへの不正アクセスも確認されていないという。業績への影響は軽微とみている。

ファンクラブやグッズ販売のサイトを運営するSKIYAKIは、サービス「Bitfan」の商品の保管と発送業務の一部をオープンロジに委託していた。同社が提供した出荷データも影響を受けた可能性があるとして、対象の情報、範囲、件数を確かめている。第一報と位置づけ、Bitfan上の各ストアを装った不審なメールやSMS、電話にも注意するよう求めた。

「Palette Project」の公式サイトは、通販の「Palette Project OFFICIAL STORE」で4月8日から11月8日までに発送を手配した注文が対象になりうると告知した。届け先の住所には郵便番号、建物名、会社名も含まれるとしている。対象者が特定でき次第、個別に連絡するという。マイネットも、グループの一部サービスでオープンロジを使っており、扱った情報は累計25件分の配送データ（氏名、住所、電話番号）だと公表した。

委託元にも報告と監督の義務

個人情報保護委員会によると、不正アクセスのように不正の目的で行われたおそれがある個人データの漏えいは、件数にかかわらず委員会への報告が義務づけられている。本人の数が1000人を超える漏えいも報告の対象だ。報告は発覚したらまず速やかに行うよう求められ、不正の目的によるおそれがある場合の期限は発覚した日から60日以内だ。SKIYAKIとPalette Projectは、関係機関への報告を行うとしている。

委員会は、個人データを扱う業務を外部に委託する事業者に対し、委託先を「必要かつ適切」に監督するよう求めている。委員会がまとめた「委託先管理に関する着眼点」は、ECサイトや会員サイトで不正アクセスによる漏えいの報告が多いとして、対策を「委託先に任せっきりにせず」委託元も取り組む必要があると記す。具体的には、安全管理を確実に行っている委託先を選ぶこと、取り扱いのルールを契約に盛り込むこと、定期的な監査などで取り扱いの状況を把握することの3点を挙げる。SKIYAKIは今回、委託先の管理と監督の体制を見直すとした。

委託先を経由した漏えいは、10月下旬からメール配信サービスでも広がっている。経緯はアララのメール流出8132万件に拡大　うち4704万件は氏名など会員情報もにまとめた。委員会は安全管理の手法の例示を見直す作業も進めており、内容は個人情報保護委、安全管理の「手法の例示」に多要素認証など追加へ　意見募集を開始で伝えた。

配送業者を装うSMSに注意

オープンロジは、持ち出された情報が配送業者などを装った不審なメール、SMS、電話に悪用される恐れがあるとしている。届け先の氏名、住所、電話番号に加えて実際に注文した商品名がそろっているため、本物の配送連絡と見分けにくい文面が作られうる。

同社は委託元の通販事業者に対し、届け先へ次の3点を伝えるよう求めた。身に覚えのない配送通知は開かないこと、不審なURLにアクセスしないこと、個人情報や決済情報の入力を求められても応じないこと。Palette Projectも、再配達の手続きや追加料金の支払いを求められても、個人情報やクレジットカード情報を入力しないよう呼びかけている。

自分の情報が含まれるかどうかは、4月8日以降に利用した通販サイトのお知らせで確かめることになる。対象の件数や原因はまだ公表されておらず、オープンロジと委託元各社の続報で明らかになる。