株式会社オープンロジへの不正アクセスにより、同社が物流・発送業務を受託していた企業やサービスの出荷データが外部へ持ち出され、影響を公表する企業が相次いでいます。
11月13日には、東映アニメーションが「東映アニメーションオンラインくじ」に関連する配送先情報3,358件について、持ち出されたデータに含まれていたことを確認しました。
Brave groupも同日、ぶいすぽっ！、RIOT MUSIC、Neo-Porte、HIMEHINAなどを含む11の公式オンラインストアが対象となる可能性を公表しています。
オープンロジは出荷データの一部が外部へ持ち出されたこと自体は確認していますが、対象となる情報の全範囲や総件数については調査を継続しています。
企業ごとの公表には、実際に持ち出されたことを確認した件数と、対象となる可能性がある最大件数、現在調査中のケースが混在しています。そのため、各社の数字を単純に合算して全体の流出件数とすることはできません。
オープンロジ、出荷データの外部持ち出しを確認
オープンロジは2026年11月11日、同社システムが第三者による不正アクセスを受け、保有する出荷データの一部が外部へ持ち出されたと公表しました。
不正アクセスは11月8日から9日にかけて発生し、同社は11月9日に現時点で把握している不正アクセス経路を遮断しています。以降、新たな不正アクセスは確認されていないとしています。
現時点で確認されている漏えい情報には、2026年4月8日から11月8日までに依頼された出荷データに含まれる配送先情報などがあります。
| 項目 | 内容 |
|---|---|
| 不正アクセス発生 | 2026年11月8日～11月9日 |
| 対象となる出荷データ | 2026年4月8日～11月8日に依頼されたデータ |
| 漏えいが確認されている情報 | 配送先の氏名、住所、電話番号、メールアドレス（登録がある場合）、商品名・数量など |
| 全体件数 | 調査中 |
| クレジットカード番号 | オープンロジでは保有しておらず対象外 |
11月13日時点の主な影響企業・サービス
オープンロジはEC事業者やブランドなどから商品の保管・発送業務を受託しているため、今回の不正アクセスは物流を委託していた多数の企業・サービスへ波及しています。
フィッシングJPが11月13日時点で確認した主な公表は以下のとおりです。
| 企業・サービス | 公表規模・状況 |
|---|---|
| 東映アニメーションオンラインくじ | 3,358件。配送先の氏名・住所・電話番号、ストア名、商品数量、追跡番号、注文番号など |
| BONX | 最大1,144件。氏名、住所、電話番号、メールアドレス、商品情報など |
| Brave group | 11の公式オンラインストアが対象となる可能性。出荷データの一部が外部へ持ち出されたことを確認 |
| SKIYAKI「Bitfan」 | 商品の保管・発送を委託した出荷データ。対象範囲・件数を調査中 |
| SPWN | 商品の配送を伴う注文者・配送先が対象。チケット・デジタルコンテンツのみの購入者は対象外 |
| ウェザーニューズ「SORASHOP」 | 2026年4月8日～11月8日の購入者情報。件数調査中。オープンロジの利用を停止 |
| パイロット「PILABOT」 | 対象期間に商品を購入した一部顧客。氏名、住所、電話番号、メールアドレス |
| REALITY Studios official shop | 商品の発送・物流業務を委託。顧客情報が流出した可能性 |
| アデリアレトロオフィシャルショップ | 出荷データに含まれる顧客の個人情報が外部へ持ち出されたことを公表 |
| スナップディッシュ | モニター商品の発送先情報が対象。自社アプリ・Web・サーバーへの侵入は確認されず |
| Maison KEI Online Store | 発送された出荷データに含まれる配送先・注文者情報などが対象となる可能性 |
このほかにも複数のオンラインショップ、エンターテインメントサービス、ブランド等が影響を公表しており、今後さらに対象企業が増える可能性があります。
東映アニメーションで3,358件の漏えいを確認
東映アニメーションは11月13日、「東映アニメーションオンラインくじ」に関連する個人情報3,358件が、オープンロジから持ち出されたデータに含まれていたと公表しました。
対象は2026年4月8日から11月8日までの間にオンラインくじを購入し、商品を引き換えた利用者の配送先情報で、未出荷の商品も含まれます。
| 東映アニメーションで漏えいした情報 |
|---|
| 配送先の氏名 |
| 住所 |
| 電話番号 |
| 購入元のストア名 |
| 商品の数量 |
| 配送の追跡番号 |
| 注文番号（引き換え番号） |
| 配送データの連携日時・出荷日 |
メールアドレスとクレジットカード情報は今回の漏えい対象には含まれていないとしています。
東映アニメーションは「東映アニメーションオンラインくじ」の提供にあたり、アカツキが提供するオンラインくじサービス「Slash Gift」を利用しています。
商品の保管・出荷業務は、アカツキの委託先であるオープンロジが担当していました。
東映アニメーションは11月11日にアカツキから不正アクセスについて連絡を受け、11月13日に自社利用者の情報が持ち出されたデータに含まれていることを確認しています。
追跡番号や注文番号も漏えい 実在注文を装う詐欺に注意
東映アニメーションの事案では、通常の氏名・住所・電話番号だけでなく、配送の追跡番号や注文番号、商品の数量、出荷日なども漏えいしています。
そのため、第三者が実際の注文に関する情報を知ったうえで、配送業者や東映アニメーションオンラインくじを装う可能性があります。
東映アニメーションは、実在の注文に関する連絡のように見せかけたSMS、電話、郵便物などが届くおそれがあるとして注意を呼びかけています。
今回のように注文・配送情報そのものが漏えいした場合、攻撃者が実在する注文番号や商品情報を示したうえで「住所確認」「再配達」「追加送料」「本人確認」などを要求することが可能になります。
記載されている情報が自分の実際の注文と一致していても、SMSやメール内のURLを直接開かず、公式サイトや配送会社の公式ページから確認してください。
Brave groupでは11ストアが対象となる可能性
Brave groupは11月13日、グループのEC物流・発送代行業務を委託しているオープンロジへの不正アクセスによって、顧客情報の一部が外部へ持ち出されたと公表しました。
対象となる可能性があるサービスには、以下の11ストアが含まれます。
| ぶいすぽっ！オフィシャルオンラインストア |
| ゆにれいど！ OFFICIAL STORE |
| YUMENOS OFFICIAL STORE |
| RIOT MUSIC OFFICIAL STORE |
| RIONECTION OFFICIAL STORE |
| AMICIS |
| Xross Stars Official Online Store |
| HIMEHINA MART |
| Neo-Porte official Shop |
| GΔ59 OFFICIAL ONLINE STORE |
| Brave group US Store |
対象となる可能性がある情報は、2026年4月8日から11月8日までに出荷を依頼したデータに含まれる氏名、住所、電話番号、メールアドレス、商品名・数量などです。
BONXでは最大1,144件
BONXは11月11日、オープンロジへの不正アクセスにより、最大1,144件の顧客情報が漏えいした可能性があると公表しました。
対象は2026年4月8日から11月8日までにBONXの商品を購入、または交換手続きを行った利用者です。
Amazonや楽天など、外部ECサイトで購入手続きが完結した顧客は対象外とされています。
対象となる情報には氏名、住所、電話番号、出荷通知を希望した場合のメールアドレス、商品名・数量などが含まれます。
Bitfan、SPWNなどエンターテインメント分野でも影響
SKIYAKIは、ファンプラットフォーム「Bitfan」における商品の保管・発送業務の一部をオープンロジへ委託しており、同社へ提供した出荷データが影響を受けた可能性があると公表しています。
対象となる利用者や件数については調査中です。
バルスが運営する「SPWN」も、商品の出荷・配送をオープンロジへ委託していました。
対象は2026年4月8日から11月8日までにオープンロジへ出荷依頼した注文の購入者と配送先で、配送を伴わないチケットやデジタルコンテンツのみを購入した利用者は対象ではありません。
SPWNのログインパスワードやクレジットカード情報はオープンロジへ提供されておらず、今回の対象には含まれていません。
SORASHOPはオープンロジ利用を停止
ウェザーニューズは11月12日、公式オンラインショップ「SORASHOP」の一部購入者情報が漏えいした可能性があると公表しました。
対象は2026年4月8日から11月8日までの購入者で、氏名、住所、電話番号、メールアドレス、注文・配送商品情報などが対象となる可能性があります。
ウェザーニューズは顧客情報の保護を優先するとして、オープンロジの利用を停止し、代替の配送体制へ切り替えています。
PILABOT、アデリアレトロ、スナップディッシュなどにも波及
パイロットコーポレーションでは、未来創造実験室「PILABOT」が提供する商品を対象期間に購入した一部の利用者について、氏名、住所、電話番号、メールアドレスが漏えいした可能性があるとして調査を進めています。
アデリアが運営する「アデリアレトロオフィシャルショップ」では、オープンロジへ委託していた出荷データに含まれる顧客情報の一部が外部へ持ち出された事実を公表しています。
スナップディッシュでは、ユーザー向けモニター企画の商品発送にオープンロジを利用しており、発送先の個人情報への影響を公表しています。スナップディッシュのアプリ、Webサイト、サーバー自体への不正アクセスは確認されていません。
配送先だけでなく「何を買ったか」も流出
今回のオープンロジの事案では、氏名・住所・電話番号・メールアドレスだけでなく、配送する商品名や数量などの情報も漏えいしています。
企業によっては注文番号、配送追跡番号、出荷日なども対象となっており、攻撃者が実際の注文や配送状況を知っているように装うことが可能です。
通常の大量送信型フィッシングよりも、受信者にとって信頼しやすい内容のメール、SMS、電話が作られる可能性があります。
- 「住所不備のため配送できない」「再配達が必要」などのSMSに注意する。
- 「追加送料」「保管料」「再配送手数料」などの支払いを要求する連絡に注意する。
- 実際に購入した商品名や注文内容が書かれていても、それだけで正規連絡とは判断しない。
- 追跡番号や注文番号が記載されている場合も、メール・SMS内のリンクではなく配送会社やショップの公式サイトから確認する。
- クレジットカード番号、暗証番号、ID・パスワードなどを入力するよう求めるページには注意する。
直接契約していない企業にも影響する再委託構造
今回の事案では、オープンロジと直接契約している企業だけでなく、その先のサービス提供会社を経由して物流を利用している企業にも影響が及んでいます。
東映アニメーションのケースでは、「東映アニメーション → アカツキ（Slash Gift）→ オープンロジ」という構成で、東映アニメーションはオープンロジへ直接配送を委託しているわけではありません。
利用者から見ても、自分が購入したオンラインショップとオープンロジとの関係を認識していないケースが多いと考えられます。
これは、メール配信サービス「アララメッセージ」への不正アクセスで、直接契約企業だけでなくマーケティングツール、決済サービス、自治体向けシステムなどを経由して多数の企業・団体へ影響が広がった構造と共通する部分があります。
11月8日から13日までの経緯
- 第三者がオープンロジのシステムへ不正アクセス。出荷データの一部が外部へ持ち出される。
- オープンロジが現時点で把握している不正アクセス経路を遮断。以降、新たな不正アクセスは確認されず。
- オープンロジから一部の委託企業へ事案の連絡が始まる。
- オープンロジが不正アクセスと個人情報漏えいを公表。BONX、Bitfan、PILABOT、REALITY Studios、アデリアレトロ、スナップディッシュなどが影響を公表。
- SPWN、SORASHOPなどが影響を公表。ウェザーニューズはオープンロジの利用を停止。
- 東映アニメーションが3,358件の漏えいを確認。Brave groupも11の公式ストアが対象となる可能性を公表するなど、影響先の確認が続く。
全体の件数・侵入経路は引き続き調査中
11月13日時点で、オープンロジから外部へ持ち出された個人情報の総件数は公表されていません。
また、不正アクセスに利用された具体的な侵入経路や原因についても、外部のセキュリティ専門機関と連携した調査が続いています。
オープンロジは個人情報保護委員会への報告と警察への相談を進めるとともに、アクセス管理、監視体制、運用管理などの見直しを行うとしています。
現在は、オープンロジが持ち出されたデータを特定し、物流を委託していた各企業が自社の顧客情報が含まれているか、対象者や件数を確認している段階とみられます。
今後も新たな企業・サービスから公表が行われる可能性があり、全体件数や侵入原因の確定、追加の影響企業などが大きな更新ポイントとなります。
※2026年11月13日時点の公式発表をもとに整理しています。オープンロジは出荷データの一部が外部へ持ち出されたことを確認していますが、全体の対象件数は調査中です。企業別には「漏えい確認」「漏えいした可能性」「対象範囲を調査中」など公表状況が異なるため、本記事では可能な限り区別して記載しています。