# オープンロジに不正アクセス、出荷データの届け先情報が持ち出し

- 分類: 漏洩情報
- 公開日: 2026年11月11日
- 発行: サイバーセキュリティ情報センター 編集部（株式会社Rabbitly）
- URL: https://security-info.org/articles/2026-11-11-openlogi-shipping-data-leak/
- タグ: 不正アクセス、委託先、EC、サプライチェーン

> 物流代行のオープンロジは11月11日、不正アクセスで出荷データの届け先の氏名、住所、電話番号などが持ち出されたと公表しました。対象は4月8日から11月8日の依頼分で、件数は調査中です。利用する事業者は自社の対象と届け先への案内を確かめます。

## この事故の概要

| 項目 | 内容 |
| --- | --- |
| 組織 | 株式会社オープンロジ（運輸） |
| 公表日 | 2026年11月11日 |
| 流出の恐れがある件数 | 調査中 |
| 原因 | 原因と侵入の経路は調査中 |
| 漏れた情報 | 届け先の氏名、住所、電話番号、メールアドレス（登録がある場合）、商品名や数量などの商品情報 |
| 発覚 | 2026年11月 |

物流代行サービスのオープンロジは2026年11月11日、同社のシステムが第三者から不正アクセスを受け、預かっていた出荷データのうち届け先の情報が外部に持ち出されたと公表しました。対象は2026年4月8日から11月8日までに依頼された出荷データで、件数は調査中です。同社に発送を任せているネットショップなどの事業者は、自社のお客様の届け先が含まれていないかを確かめることになります。

## 何が起きたのか

同社によると、不正アクセスがあったのは2026年11月8日から9日にかけてです。同社は9日に、判明している不正アクセスの経路を遮断しました。それ以降、新たな不正アクセスは確認されていないとしています。公表は11日です。

不正アクセスを受けたシステムの名前や種類は書かれていません。原因と侵入の経路、影響の範囲は、外部の専門機関と調査している段階です。同社がどのように異常に気づいたかも、お知らせには書かれていません。

## 持ち出された情報

同社が持ち出しを確認したとしているのは、出荷データに含まれる次の情報です。

- 届け先の氏名、住所、電話番号
- 届け先のメールアドレス（登録されている場合）
- 商品名や数量などの商品情報

クレジットカード番号は同社が保有していないため、対象に含まれません。対象となる事業者の数と、届け先の件数は示されていません。11月11日の時点で、持ち出された情報の悪用や、この件による二次被害は確認されていないとしています。

届け先の氏名と住所、電話番号に、買った商品の名前がそろうと、実在の注文に見せかけた連絡を作りやすくなります。同社が届け先への注意として挙げているのも、身に覚えのない配送通知です。

## 会社の対応

同社は経路を遮断したあと、緊急メンテナンスを行って安全性を確かめました。一部のシステム操作に影響が出ていますが、倉庫での入荷と出荷の業務は通常どおり動いているとしています。影響が出ている操作の中身は書かれていません。

個人情報保護委員会への報告と警察への相談は、これから進めるとしています。再発防止では調査の結果を踏まえてセキュリティ対策、アクセス管理、監視の体制、運用管理を見直す方針を示すにとどまり、具体的な内容はまだありません。新しい事実が分かったときや追加の対応が要るときは、同社のウェブサイトなどで知らせるとしています。問い合わせはメールで受けています。

## 利用している事業者がすること

同社は利用している事業者に、次のことを求めています。

1. サービスの利用状況を確かめ、不審な点があれば同社に連絡する
2. 届け先のお客様に、身に覚えのない配送通知を開かないよう伝える
3. 届け先のお客様に、不審なURLを開かないこと、個人情報や決済情報の入力を求められても応じないことを伝える

届け先の情報は、もとは事業者が自社のお客様から預かったものです。個人情報の取り扱いを外の会社に任せていても、任せた側の責任はなくなりません。委託先で漏えいが起きたときは、任せた側にも個人情報保護委員会への報告や本人への通知が求められることがあります。自社が対象かどうかが分かったら、報告と通知をどちらの会社が行うかを同社と相談します。

## 中小企業が学べること

発送の代行は小さなネットショップでも広く使われていて、注文のたびに届け先の情報が委託先に渡り、そこにたまっていきます。今回の対象は約7か月分の出荷データでした。

まず、発送や決済、メール配信など、お客様の情報を渡している外の会社を一覧にして、会社ごとに、渡している項目、データが残る期間、古いデータを消す方法があるかを書き添えます。発送に要らない項目は渡さず、発送が済んだデータは委託先の画面から消すか、消してもらえるかを問い合わせると、事故が起きたときの範囲を小さくできます。

次に、委託先から連絡を受けた日の動きを決めておきます。決めるのは、対象の注文を自社の記録から抜き出す人、お客様への案内文を書く人、個人情報保護委員会への報告を判断する人です。委託先に何を聞いておくかは、[システムの委託先に聞くべき5つのこと](/articles/2026-11-05-vendor-five-questions/)にまとめています。配達の委託先から利用者の情報が漏れた例には、[「7NOW」の配達委託先に不正アクセス、利用者情報16万9,151件](/articles/2026-11-03-seven-eleven-7now-cbcloud/)があります。

## 自社で確かめること

1. **発送を任せている会社**：商品の保管や発送を外の会社に任せているなら、その会社に渡している届け先の項目と、データが残る期間を書き出しておきます。
2. **オープンロジを使っている会社**：4月8日から11月8日に出荷を依頼したかを注文の記録で調べ、対象なら届け先のお客様に不審な配送通知への注意を伝えます。
3. **委託先で事故が起きたときの段取り**：委託先から漏えいの連絡を受けたら、誰が個人情報保護委員会への報告とお客様への通知を判断するかを、先に決めておきます。

## 出典

- [株式会社オープンロジ「【重要】当社システムへの不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026年11月11日）](https://corp.openlogi.com/news/notice/notice-20261111/)