オープンロジに不正アクセス、出荷データの届け先情報が持ち出し

物流代行サービスのオープンロジは2026年11月11日、同社のシステムが第三者から不正アクセスを受け、預かっていた出荷データのうち届け先の情報が外部に持ち出されたと公表しました。対象は2026年4月8日から11月8日までに依頼された出荷データで、件数は調査中です。同社に発送を任せているネットショップなどの事業者は、自社のお客様の届け先が含まれていないかを確かめることになります。

何が起きたのか

同社によると、不正アクセスがあったのは2026年11月8日から9日にかけてです。同社は9日に、判明している不正アクセスの経路を遮断しました。それ以降、新たな不正アクセスは確認されていないとしています。公表は11日です。

不正アクセスを受けたシステムの名前や種類は書かれていません。原因と侵入の経路、影響の範囲は、外部の専門機関と調査している段階です。同社がどのように異常に気づいたかも、お知らせには書かれていません。

持ち出された情報

同社が持ち出しを確認したとしているのは、出荷データに含まれる次の情報です。

• 届け先の氏名、住所、電話番号
• 届け先のメールアドレス（登録されている場合）
• 商品名や数量などの商品情報

クレジットカード番号は同社が保有していないため、対象に含まれません。対象となる事業者の数と、届け先の件数は示されていません。11月11日の時点で、持ち出された情報の悪用や、この件による二次被害は確認されていないとしています。

届け先の氏名と住所、電話番号に、買った商品の名前がそろうと、実在の注文に見せかけた連絡を作りやすくなります。同社が届け先への注意として挙げているのも、身に覚えのない配送通知です。

会社の対応

同社は経路を遮断したあと、緊急メンテナンスを行って安全性を確かめました。一部のシステム操作に影響が出ていますが、倉庫での入荷と出荷の業務は通常どおり動いているとしています。影響が出ている操作の中身は書かれていません。

個人情報保護委員会への報告と警察への相談は、これから進めるとしています。再発防止では調査の結果を踏まえてセキュリティ対策、アクセス管理、監視の体制、運用管理を見直す方針を示すにとどまり、具体的な内容はまだありません。新しい事実が分かったときや追加の対応が要るときは、同社のウェブサイトなどで知らせるとしています。問い合わせはメールで受けています。

利用している事業者がすること

同社は利用している事業者に、次のことを求めています。

1. サービスの利用状況を確かめ、不審な点があれば同社に連絡する
2. 届け先のお客様に、身に覚えのない配送通知を開かないよう伝える
3. 届け先のお客様に、不審なURLを開かないこと、個人情報や決済情報の入力を求められても応じないことを伝える

届け先の情報は、もとは事業者が自社のお客様から預かったものです。個人情報の取り扱いを外の会社に任せていても、任せた側の責任はなくなりません。委託先で漏えいが起きたときは、任せた側にも個人情報保護委員会への報告や本人への通知が求められることがあります。自社が対象かどうかが分かったら、報告と通知をどちらの会社が行うかを同社と相談します。

中小企業が学べること

発送の代行は小さなネットショップでも広く使われていて、注文のたびに届け先の情報が委託先に渡り、そこにたまっていきます。今回の対象は約7か月分の出荷データでした。

まず、発送や決済、メール配信など、お客様の情報を渡している外の会社を一覧にして、会社ごとに、渡している項目、データが残る期間、古いデータを消す方法があるかを書き添えます。発送に要らない項目は渡さず、発送が済んだデータは委託先の画面から消すか、消してもらえるかを問い合わせると、事故が起きたときの範囲を小さくできます。

次に、委託先から連絡を受けた日の動きを決めておきます。決めるのは、対象の注文を自社の記録から抜き出す人、お客様への案内文を書く人、個人情報保護委員会への報告を判断する人です。委託先に何を聞いておくかは、システムの委託先に聞くべき5つのことにまとめています。配達の委託先から利用者の情報が漏れた例には、「7NOW」の配達委託先に不正アクセス、利用者情報16万9,151件があります。