バンダイロジパルへの不正アクセス（「一番くじONLINE」配送情報の漏えい懸念・出荷停止）
公表日
バンダイナムコグループの物流子会社バンダイロジパルが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、「一番くじONLINE」利用者の配送情報（氏名・住所・電話番号）が漏えいした可能性があるとして出荷システムなどを一時停止しました。
対象者は？
「一番くじONLINE」を利用し配送先情報を登録した顧客（氏名、住所、電話番号が対象。クレジットカード情報は含まれていません。対象件数は調査中）。
「一番くじONLINE」公式サイトに設置された専用の問い合わせ窓口から確認できます。
いますぐできること
- 心当たりのない不審な電話や配送物、連絡があった場合は、安易に応答や受け取りを行わないよう注意してください。
何が起きたのか
2026年10月21日に物流システム内のサーバーで不審な痕跡と社内アカウントの不正利用が確認されました。翌22日の調査で「一番くじONLINE」の配送情報が保管されているサーバーにも痕跡が見つかり、個人情報が漏えいした可能性が判明しました。安全確保と調査のため10月24日に物流システムを、10月26日には出荷システムを一時停止し、警察と個人情報保護委員会に報告を行いました。
なぜ起きたのか・なぜ広がったのか
バンダイロジパルの社内アカウントが第三者に不正利用されて操作が行われたことが確認されています。ただし、アカウント情報がどのように窃取されたのかや、具体的な侵入経路については公表されていません。
いまの状況2026-10-26 時点続報待ち
現在も物流システムおよび出荷システムを停止し、安全性の確認と調査が進められています。漏えいした可能性のある具体的な対象件数やシステムの再開時期については、まだ発表されていません。
企業として考えたいこと
自社やグループ会社が業務を受託している環境で不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が発生した場合、取引先やサプライチェーン直接狙うのではなく、取引先・委託先、利用しているクラウドサービスやソフトウェアを経由して被害を及ぼす攻撃です。自分の会社がしっかり守っていても、データを預けた先や使っている基盤がやられれば影響を受けます。1か所の被害が、何百もの組織に広がることもあります。全体への事業停止影響を抑えるための隔離手順や代替手順は整備されていますか。
技術的な要約
バンダイナムコグループの物流子会社であるバンダイロジパルが管理するシステムに対し、第三者からの不正アクセスが発生した。2026年10月21日にサーバー上で不正アクセスの痕跡と社内アカウントの不正利用が確認され、調査の結果、BANDAI SPIRITSから受託している「一番くじONLINE」の配送情報（氏名・住所・電話番号）が漏えいした可能性があることが判明した。同社は該当サーバーの遮断や物流・出荷システムの停止を行い、警察および個人情報保護委員会へ報告した。漏えい対象の件数は調査中であり、クレジットカード情報は含まれていない。
攻撃の分類
- 侵入口
- 不明公表資料ではバンダイロジパルのアカウントの不正利用による操作が確認されたとされているが、悪用されたアカウントの詳細や侵入経路は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 不正操作の範囲特定に伴い、2026年10月24日に物流システムを停止。さらに安全性が確認できるまで10月26日より出荷システムを一時停止した。期間：2026-10-24〜
- データ
- おそれ上限 —確定 —件氏名住所電話番号漏洩の可能性があるのはBANDAI SPIRITSが配送業務を委託している「一番くじONLINE」の配送情報（氏名・住所・電話番号）。件数は調査中。クレジットカード情報は含まれず、現時点で不正使用等は確認されていない。
- 波及先
- —
- 株式会社BANDAI SPIRITS（「一番くじONLINE」配送業務の委託元）
- 出荷システム停止に伴い影響が生じる取引先
- 金銭影響
- —
- サプライチェーン
- 物流業務を受託するバンダイロジパルの管理システムが不正アクセスを受け、委託元であるBANDAI SPIRITSのサービス「一番くじONLINE」の配送先個人情報が漏えいした可能性がある。
時系列
- 2026-10-21
- 2026-10-22
- 2026-10-23
- 2026-10-24
- 2026-10-26
- 2026-10-26
- 2026-10-26
- 2026-10-26
技術解説
不正アクセスの検知から初動対応とシステム停止までの経緯 事実
2026年10月21日、バンダイナムコグループの物流子会社であるバンダイロジパルが管理する物流システム内のサーバーにおいて、第三者による不正アクセスの痕跡が発見された。同日中に同社アカウントが不正利用されて操作が行われていたことが確認され、該当サーバーのシャットダウンと緊急対策が実施された。翌10月22日に対策本部を設置して物流システム全体の調査を進めた結果、BANDAI SPIRITSから受託している「一番くじONLINE」の配送情報が格納されたサーバーにも痕跡が確認され、顧客情報の一部が漏えいした疑いが判明した。同社は影響が及ぶ範囲を特定した上で、10月24日に当該物流システムを停止し、安全確認のため10月26日より出荷システムを一時停止した。同日、警察および個人情報保護委員会への報告を実施し、3社連名で第1報を公表した。漏えいの可能性がある情報は氏名・住所・電話番号で、クレジットカード情報は含まれず、件数は調査中とされている。
物流受託子会社を起点とするサプライチェーンリスクと事業停止影響 解釈
本事案は、グループ内における業務委託関係（委託元のBANDAI SPIRITSと受託先の物流子会社バンダイロジパル）を介したサプライチェーンリスクの典型例といえる。オンラインサービスのフロントエンドではなく、バックヤードである物流・配送システムが侵害されたことで、配送に必要な氏名・住所・電話番号といった個人情報が漏えい懸念の対象となった。さらに、侵害範囲の特定と安全確認のために物流システムおよび出荷システムを停止したことにより、委託元サービスだけでなく、出荷業務に依存する取引先へも波及影響が生じている。委託先や子会社におけるインシデントがグループ全体のブランドやサプライチェーン全体の業務継続に直接的な打撃を与える構図が示されており、受託環境における厳格な統制と、障害・侵害時の影響局所化の重要性が浮き彫りとなっている。
正規アカウント不正利用における検知とラテラルムーブメント対策の課題 解釈
公表内容では、攻撃者がバンダイロジパルの社内アカウントを不正利用してシステムを操作していたとされている。正当な認証情報を用いた操作は通常の業務トラフィックに紛れやすく、従来の境界防御のみでは侵入後の検知や遮断が困難になりやすい。侵入経路（フィッシング、認証情報の流用、VPN機器等の脆弱性悪用など）は公表されていないものの、初期に侵入したサーバーから「一番くじONLINE」の配送情報が格納された別サーバーへ内部横断（ラテラルムーブメント）された可能性が推察される。重要データが保管されているサーバーへのアクセス経路を特定ホストに限定し、ネットワーク分離や特権ID管理、多要素認証（MFA）の義務付けが徹底されていなければ、1つのアカウント侵害から重要システム全体へ影響が及ぶリスクが高まる。
対応
- 封じ込め
- 不正アクセスの痕跡確認直後に該当サーバーをシャットダウンし、同社アカウントの不正利用に対する緊急対策を実施した。その後、影響範囲を特定した上で2026年10月24日に物流システムを停止し、安全確認のため10月26日より出荷システムを一時停止した。
- 公表の仕方
- 2026年10月26日にバンダイナムコホールディングス、BANDAI SPIRITS、バンダイロジパルの3社連名で第1報を発表。漏洩が疑われる対象者への注意喚起と問い合わせ窓口の設置、影響が生じる取引先への告知を行った。
- 当局対応
- 警察
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 社内システムおよびサーバー管理アカウントへの多要素認証（MFA）の必須化 | 管理サーバーや社内基幹システムへログインする全アカウントに対して、FIDO2/WebAuthnやTOTPを用いた多要素認証（MFA）を義務付け、単一のパスワード漏洩による不正アクセスを防止する。 |
| 個人情報等の重要データを扱うサーバーのネットワーク分離とアクセス制御 | 顧客の配送情報など高機微なデータを保管するサーバーは専用のネットワークセグメントに隔離し、許可された最小限の送信元IPアドレスおよびプロトコルのみアクセス可能とするファイアウォール・ACLルールを適用する。 |
| 正規アカウントの不審な挙動を検知する統合ログ監視とアノマリ検知の導入 | Active Directoryやサーバーの認証ログをSIEM等へ集約し、通常と異なる時間帯や送信元からのアクセス、短時間の複数サーバーへの横断的なログイン試行などの異常行動を検知して自動アラートを発報する仕組みを導入する。 |
| 物流・出荷システムの侵害発生時における影響局所化とBCP手順の整備 | インシデント発生時にシステム全体を一括停止せず特定セグメントのみを切り離せるマイクロセグメンテーション設計を導入するとともに、出荷停止時の取引先連携や手動代替運用手順をBCPに策定しておく。 |
自組織などでの確認項目
- 自社の基幹システムや受託業務データを扱う社内アカウントに対し、多要素認証（MFA）が例外なく強制されているか。
- 顧客の個人情報や取引先データを保管しているサーバーは一般社内ネットワークから分離され、アクセス権限は必要最小限のアカウントに限定されているか。
- セキュリティインシデントによって基幹システムや出荷システムを停止せざるを得なくなった場合、取引先への告知体制や代替業務プロセスが準備されているか。
未解明点
- 不正利用されたバンダイロジパルの社内アカウントの認証情報が窃取された具体的な侵入経路（フィッシング、VPN等の境界機器脆弱性、外部流出認証情報の悪用など）は何だったのか。
- 漏えいした可能性がある「一番くじONLINE」の配送情報の対象件数は最終的に何件に上るのか。
出典
- 1オタク総研2026-10-27報道本文確認済
- 2株式会社アクト2026-10-27研究者本文確認済
- 3電撃オンライン2026-10-27報道本文確認済
- 4時事通信報道本文確認済
- 5HOBBY Watch2026-10-27報道本文確認済
- 6共同通信2026-10-26報道本文確認済
- 7ビジネス＋IT2026-10-27報道本文確認済
- 8
- 9おたくま経済新聞2026-10-27報道本文確認済
- 10セキュリティ対策Lab2026-10-27報道本文確認済
- 11読売新聞2026-10-26報道本文確認済
- 12株式会社バンダイナムコホールディングス、株式会社BANDAI SPIRITS、株式会社バンダイロジパル2026-10-26公式本文確認済
- 13Security NEXT2026-10-27報道本文確認済