バンダイロジパルの物流システムに不正アクセス、「一番くじONLINE」の配送情報が漏えいの疑い 発見から3日でシステム全停止

事案の概要データ

図解：この事故の構造

何が起きたのか

バンダイナムコホールディングス、BANDAI SPIRITS、バンダイロジパルの3社は2026年10月26日、物流子会社であるバンダイロジパルが管理するシステムへの不正アクセスを連名で公表しました。

発覚は2026年10月21日（水）。ロジパルが管理する物流システム内サーバーに「不正アクセスの疑いのある痕跡」を発見し、ただちに当該サーバーをシャットダウンして調査に着手しました。同日中に、「同社アカウントの不正利用による操作が行われたこと」を確認しています。

翌10月22日、社内に対策本部を設置して物流システム全体を調査。その結果、BANDAI SPIRITSがロジパルに配送業務を委託している「一番くじONLINE」の配送情報が格納されるサーバーに、不正アクセスの疑いのある痕跡が確認されました。

漏えいの疑いがある情報は、氏名・住所・電話番号です。クレジットカード情報は含まれておらず、現時点で不正使用等は確認されていません。件数は調査中とされています。

なおバンダイナムコグループは、10月27日にユミルリンク（Cuenote）経由での別の漏えい（「THE GUNDAM BASE MEMBERS」利用者のメールアドレス等346,247件）も公表しています。本件とは原因の異なる別事案です。

痕跡の発見から3日で、物流システム全体を止めた

この公表文で最も参考になるのは、経緯の書き方です。日付ごとに、何をしたかが並んでいます。

10月21日（水）： 痕跡を発見 → 当該サーバーをシャットダウン → 調査着手 → 同日、アカウントの不正利用を確認 → 緊急対策を実施し、攻撃手段の特定と対応を開始。

10月22日（木）： 対策本部を設置 → 物流システム全体を調査 → 「一番くじONLINE」の配送情報が格納されるサーバーにも痕跡を確認。

10月23日（金）： 調査を継続し、不正操作の可能性が及ぶ範囲を特定 → システム全体を停止することを決定し、停止作業に着手。

10月24日（土）： 当該物流システムを停止。

10月26日（月）： 警察および個人情報保護委員会へ報告。対象者への注意喚起と、取引先への告知を実施。公表。

発見から停止まで3日、公表まで5日です。注目すべきは、止めたのが「見つかったサーバー」ではなく「物流システム全体」だった点です。

物流システムを止めるということは、荷物が動かなくなるということです。「一番くじONLINE」の購入者は商品が届かず、取引先の出荷も止まります。それでも止めたのは、「どこまで入られたか分からない状態で動かし続けるほうが危ない」と判断したからです。

そして10月24日（土）に停止しています。週末を使って止めるという段取りも読み取れます。

中小企業が同じ判断を迫られたとき、決めておくべきことは2つです。①止める判断を誰がするか。②止めたときに業務をどう回すか。 ②がないと、①の判断ができません。「止めたら何もできなくなる」と分かっていれば、誰も止められないからです。

在庫管理や受発注のシステムが止まったとき、紙とFAXと電話で1週間だけしのぐ手順を、1枚にまとめておいてください。それがあるだけで、止める判断ができるようになります。

「同社アカウントの不正利用」——侵入経路として最も多い形

原因について、公表文はこう書いています。

「同日、同社アカウントの不正利用による操作が行われたことを確認」

脆弱性を突かれたのでも、ウイルスに感染したのでもありません。正規のアカウントが、本人以外に使われたということです。アカウントの種類（社員のものか、システム管理用か、委託先のものか）も、どうやって取得されたかも、公表文には書かれていません。

これは2026年に報じられた事案の中で、最も多い侵入の形です。本サイトに掲載した事案でも、ID・パスワードの悪用、共有アカウントの放置、退職者アカウントの残存、メールアカウントの乗っ取りが繰り返し出てきます。

攻撃する側から見れば、当然の選択です。脆弱性を探すより、どこかで漏れたIDとパスワードを試すほうが早い。 そして、同じパスワードを複数のサービスで使っている人は、いまだに大勢います。

中小企業が今週できることを、優先順位の順に書きます。

①使っていないアカウントを止める。 退職者、異動した人、終了したプロジェクトの外部メンバー、試しに作ったテスト用アカウント。使われていないアカウントは、誰も異常に気づけません。

②管理者権限を持つアカウントを数える。 多くの会社で、必要以上の人数が管理者になっています。5人いるなら2人に減らせないか考えてください。

③多要素認証をかける。 パスワードが漏れても、スマートフォンがなければ入れない状態にします。

④ログイン履歴を見る。 深夜のログイン、海外からのログイン、同じアカウントの同時ログイン。クラウドサービスなら管理画面から確認できます。

①と②は今日できて、費用がかかりません。 そして効果が最も大きい2つです。

「配送情報」は、自社の顧客ではない人の情報でもある

漏えいが疑われているのは「一番くじONLINE」の配送情報です。氏名・住所・電話番号。

ここで構造を確認しておきます。情報を集めたのはBANDAI SPIRITS、情報を持っていたのはバンダイロジパルです。「一番くじONLINE」で買い物をした人は、BANDAI SPIRITSのサービスを使ったつもりでいます。ロジパルという会社の名前を、今回の公表で初めて知った人がほとんどでしょう。

だから公表は3社連名で出されています。持株会社、サービスを運営する会社、そして実際にデータを持っていた物流会社。誰が答えるのかを、最初から明確にしています。

これは中小企業にそのまま当てはまる構図です。自社が集めた顧客情報は、自社だけが持っているとは限りません。

配送を委託していれば運送会社や倉庫会社に、決済を委託していれば決済代行会社に、カスタマーサポートを委託していればコールセンターに。顧客は自社に情報を渡したつもりでいますが、実際のデータは複数の会社に散らばっています。

やることは、棚卸しです。紙に表を1つ作ってください。「顧客のどの情報が／どの会社に／何のために渡っているか」。 列は3つで十分です。

書き出してみると、たいてい想定より多くなります。配送、決済、メール配信、Web制作、予約システム、会計、採用。それぞれに顧客や応募者の情報が渡っています。

この表があると、事故が起きたときに「自社は関係あるか」を即座に判断できます。 「◯◯社で事故」というニュースを見たとき、表を見れば自社が当事者かどうかが分かる。表がなければ、思い出せるかどうかに頼ることになります。

時系列で見る経過

• 2026年10月21日（水）ロジパルが管理する物流システム内サーバーに不正アクセスの疑いのある痕跡を発見。直ちに当該サーバーをシャットダウンし、原因と影響範囲の調査に着手。同日、同社アカウントの不正利用による操作が行われたことを確認
• 2026年10月22日（木）ロジパル社内に対策本部を設置し、物流システム全体を調査。「一番くじONLINE」の配送情報が格納されるサーバーにも痕跡を確認し、顧客情報の一部に漏洩の疑いがあることが判明
• 2026年10月23日（金）調査を継続し、不正操作の可能性が及ぶ範囲を特定。システム全体の調査と対策が完了するまでシステムを停止することを決定し、停止作業に着手
• 2026年10月24日（土）当該物流システムを停止
• 2026年10月26日（月）警察および個人情報保護委員会へ報告。漏洩が疑われる個人情報の対象者への注意喚起と、システム停止により影響が生じる取引先への告知を実施
• 2026年10月26日（月）バンダイナムコホールディングス・BANDAI SPIRITS・バンダイロジパルの3社連名で第1報を公表
• 今後件数など詳細、およびシステム再開の時期は、判明・決定次第お知らせするとしている

中小企業が学ぶべきポイント

1. 止めたのは「見つかったサーバー」ではなく物流システム全体。どこまで入られたか分からない状態では、範囲を広く取る。
2. 止める判断ができるのは、止めたときに業務を回す手順があるときだけ。
3. システムが止まったとき、紙とFAXと電話で1週間しのぐ手順を1枚にまとめておく。
4. 侵入経路は「同社アカウントの不正利用」。2026年に最も多い形で、脆弱性でもウイルスでもない。
5. 今日できて費用がかからない対策は、使っていないアカウントを止めることと、管理者権限の人数を減らすこと。
6. クラウドサービスの管理画面でログイン履歴を見る。深夜・海外・同時ログインを確認する。
7. 自社が集めた顧客情報は、自社だけが持っているとは限らない。
8. 「顧客のどの情報が／どの会社に／何のために渡っているか」の表を作る。列は3つでよい。
9. その表があれば、他社の事故のニュースを見たときに自社が当事者かを即座に判断できる。
10. 情報を集めた会社と、データを持っていた会社が違うときは、連名で公表すると誰が答えるかが明確になる。

出典・参考

• 株式会社バンダイロジパルへの不正アクセスについてのお知らせ（第1報）（バンダイナムコホールディングス／BANDAI SPIRITS／バンダイロジパル・2026年10月26日・PDF）
• バンナム子会社に不正アクセス - 「一番くじONLINE」配送情報が流出か（Security NEXT）
• BANDAI SPIRITS プレスリリース一覧