ブシロード、開発委託先への不正アクセスで『バンドリ！アワーノーツ』応募者とサポート利用者の情報が漏えい

事案の概要データ

図解：この事故の構造

何が起きたのか

ブシロードは2026年10月27日、スマートフォン向けゲームアプリ『バンドリ！アワーノーツ』の開発業務の委託先システムが第三者による不正アクセスを受け、個人情報が漏えいしたと公表しました。

原因は、開発業務委託先における管理上の不備に起因する不正アクセスです。委託先のCBTデータとカスタマーサポートの問い合わせデータの保管環境が対象になりました。不備はすでに是正が完了しているとされています。

対象は大きく2つです。2026年6月に実施したクローズドβテスト（CBT）の応募者10,194名と、2026年9月24日から10月14日までにカスタマーサポートへ問い合わせた3,034名です。

「お問い合わせ本文内容」がまるごと漏えいした

この事案で最も重く見るべきなのは、カスタマーサポートの側です。

漏えいした項目の筆頭に、お問い合わせ本文内容と書かれています。つまり、利用者が書いた文章がそのまま漏れました。

そして公表文には、こうあります。「お問い合わせ内容により、含まれている個人情報の項目はお客様ごとに異なります」。

これは、問い合わせフォームの本質的な問題です。フォームの入力欄に何を書くかは、会社側が決められません。

項目として用意していなくても、利用者は自由記入欄に書きます。「課金したのに反映されない」という問い合わせに、クレジットカードの下4桁や購入日時を添える人がいます。「アカウントにログインできない」という問い合わせに、生年月日や登録時のメールアドレスを書く人がいます。

本件でも、メールアドレス311件、氏名257件、電話番号11件、住所・郵便番号6件が、問い合わせの中に含まれていました。フォームに「氏名」「住所」の欄がなくても、本文に書かれていれば漏れるのです。

中小企業の問い合わせフォームでも同じことが起きる

この話は、どんな会社の問い合わせフォームにも当てはまります。

自社のフォームに届いた問い合わせは、どこに溜まっていますか。メールの受信箱でしょうか。問い合わせ管理ツールでしょうか。Googleフォームのスプレッドシートでしょうか。

そこに何年分溜まっていますか。そして、それを見られるのは誰ですか。

できることが4つあります。

1. 問い合わせデータの保存期間を決める。 対応が完了して一定期間が過ぎたものは削除します。「1年で消す」と決めれば、漏れるのは1年分です。

2. フォームの注意書きに一行入れる。 「クレジットカード番号・パスワード・暗証番号は記入しないでください」。これだけで、本文に書かれる危険な情報が減ります。

3. 見られる人を絞る。 全社員が見られる共有メールボックスに溜まっていませんか。

4. 外部ツールを使うなら、何が保存されるかを確認する。 問い合わせ管理ツール、チャットボット、AIの自動応答。どれも本文が保存されます。保存場所と保存期間を確認してください。

どれも費用はかかりません。2番目は今日できます。

「開発委託先の管理上の不備」とは何か

公表文は、原因を「開発業務委託先における管理上の不備」と説明しています。具体的な内容は書かれていませんが、この種の表現が指すものは、だいたい決まっています。

テスト用のサーバーにパスワードがかかっていなかった。クラウドの保管場所が、インターネットから誰でも見られる設定になっていた。開発者のアカウントが退職後も残っていた。本番のデータを開発環境にコピーしたまま放置していた。

どれも「攻撃が巧妙だった」のではなく、置き忘れです。

そして本件で見逃せないのは、開発委託先がCBTのデータと問い合わせデータを保管していたという点です。開発を頼んだだけのつもりでも、データは委託先の環境にあったのです。

自社がシステムやアプリを外注している場合、確認してください。「本番のお客様のデータは、どこに保管されていますか」「開発会社の環境にコピーはありませんか」。

開発のためにデータが必要なことはあります。そのときは、氏名や連絡先を置き換えた加工データを使ってもらってください。2026年10月27日に公表された東京消防庁の事案も、サービスの導入試験に本物の答案を渡していたケースでした。

利用者が注意すること

対象となる方には、ブシロードから個別に順次連絡があるとされています。

注意すべきは、同社やゲームを装った不審なメール・SMSです。メールアドレスと端末情報、そして問い合わせの内容が漏れているため、「先日のお問い合わせの件で」という連絡は本物に見えます。

同社は、メール・SMS等でパスワードやクレジットカード情報、金融機関の暗証番号を尋ねることや、金銭の支払いを直接請求することは一切ないと明記しています。

また、漏えいに含まれるプレイヤーIDだけでは、第三者がゲームアカウントへ不正にログインしたり、乗っ取ったりはできないと説明されています。この点が明記されていることは、利用者の不安を減らすうえで有効です。

時系列で見る経過

• 2026年6月25日17:00〜6月29日14:59『バンドリ！アワーノーツ』のクローズドβテスト（CBT）を実施
• 2026年6月29日15:00〜7月2日14:59CBTアンケートを実施
• 2026年9月24日14:03〜10月14日23:46この期間のカスタマーサポートへの問い合わせが対象
• （日時は未公表）開発業務委託先における管理上の不備に起因し、不正アクセスが発生
• 2026年10月27日CBT応募者10,194名、サポート利用者3,034名ほかの個人情報漏えいを公表。委託先の不備は是正完了

中小企業が学ぶべきポイント

1. 問い合わせフォームの本文には、会社が用意していない個人情報が書かれる。本文がまるごと漏れると項目を特定できない。
2. フォームの注意書きに「カード番号・パスワード・暗証番号は記入しないでください」と入れる。今日できる。
3. 問い合わせデータの保存期間を決める。1年で消せば、漏れるのは1年分。
4. システムやアプリを外注しているなら「本番データが開発会社の環境にないか」を確認する。
5. 開発用のデータは、氏名や連絡先を置き換えた加工データにしてもらう。
6. 「管理上の不備」の多くは巧妙な攻撃ではなく置き忘れ。パスワード未設定、公開設定、退職者アカウント、本番データのコピー。
7. 「プレイヤーIDだけでは乗っ取れない」のように、危なくない点を明記すると利用者の不安が減る。

出典・参考

• 『バンドリ！アワーノーツ』クローズドβテスト応募者様およびカスタマーサポートご利用者様の個人情報漏えいに関するお詫びとお知らせ - ブシロード
• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope