要点
発表された事実
- バンダイナムコホールディングスの物流子会社バンダイロジパル（東京都葛飾区）が管理するシステムに不正アクセスがあり、10月21日に発覚した。3社連名で10月26日に第1報を出した（バンダイナムコHDほか 第1報）。
- 10月21日、物流システム内のサーバーに不正アクセスの疑いがある痕跡を見つけてシャットダウンし、同日、ロジパルのアカウントが不正に使われて操作が行われたことを確認した（同）。
- 漏えいの可能性があるのは、BANDAI SPIRITSがロジパルに配送を委託している「一番くじ ONLINE」の配送情報（氏名・住所・電話番号）。件数は調査中。クレジットカード情報は含まれず、不正使用は確認されていない（同）。
- 10月24日に物流システムを停止。安全が確認できるまで、10月26日からロジパルの出荷システムを一時停止している。警察と個人情報保護委員会に報告した（同）。
わかっていないこと
- 漏えいの可能性がある件数
- 不正利用されたアカウントの認証情報がどう入手されたか
- 「一番くじ ONLINE」以外の荷主・配送情報への影響の有無
- 出荷システムの再開時期と、商品の配送への影響
関係しそうな既知の手口
- （考察）正規アカウントを使った操作は、盗んだID・パスワードやVPNなどの認証情報を使う侵入でよく見られる。どのアカウントがどう使われたかは公表されていない。
概要
- バンダイナムコグループの物流会社バンダイロジパルのシステムに不正アクセスがあり、社員などのアカウントが不正に使われていた。
- 調べた結果、景品くじの通販「一番くじ ONLINE」の配送先（氏名・住所・電話番号）が入ったサーバーにも痕跡があり、漏えいの可能性がある。
- 件数は調査中で、出荷システムは安全確認まで止まっている。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-21（水） | 物流システム内サーバーに不正アクセスの疑いがある痕跡を発見、シャットダウン。同日、ロジパルのアカウントの不正利用による操作を確認（3社発表） |
| 10-22（木） | 社内に対策本部を設置し物流システム全体を調査。「一番くじ ONLINE」の配送情報を格納するサーバーにも痕跡を確認（同） |
| 10-23（金） | 不正操作の可能性が及ぶ範囲を特定し、システム停止を決定（同） |
| 10-24（土） | 当該物流システムを停止（同） |
| 10-26（月） | 警察・個人情報保護委員会に報告。対象者への注意喚起と取引先への告知。第1報を公表（同） |
発表内容の整理
事実（バンダイナムコHD・BANDAI SPIRITS・バンダイロジパル 第1報）
| 項目 | 内容 |
|---|---|
| 被害を受けたシステム | バンダイロジパルが管理する物流システム（サーバー） |
| 確認された手口 | 同社アカウントの不正利用による操作 |
| 漏えいの可能性がある情報 | 「一番くじ ONLINE」の配送情報（氏名・住所・電話番号） |
| 件数 | 調査中 |
| 含まれない情報 | クレジットカード情報 |
| 二次被害 | 現時点で不正使用等は確認されていない |
| 業務への影響 | 10月26日から出荷システムを一時停止（安全確認まで） |
- 不審な電話や郵送物が届く可能性があるとして、心当たりのない連絡に注意するよう呼びかけている。
- システムの利用を再開するときや、件数など新しい事実がわかったときに続報を出すとしている。
事実（報道）
- ITmedia NEWSは、ロジパルが安全性が確認できるまで停止を続けると報じている（ITmedia NEWS）。
考察
最初に見つかったのは物流システムのサーバーの痕跡で、配送情報のサーバーは翌日の全体調査で見つかっている。アカウントの不正利用が確認されていることから、攻撃者は正規の権限で複数のサーバーにアクセスできた可能性がある（考察）。
物流会社は複数の荷主の配送データを預かることが多い。今回の発表で名前が出ているのは「一番くじ ONLINE」だけだが、発表は「当該システム停止により影響が生じる取引先への告知」にも触れており、出荷の停止が他の商品の配送にも及ぶ可能性がある（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは10月8日（9日更新）の注意喚起で、国内で相次ぐ不正アクセスの類型として、標的ごとに既知の脆弱性を探して悪用を試みるもの（ケースA）や、他のシステムの侵害で窃取したAPIキーの使用を含むAPI経由の不正な操作（ケースB）などを挙げている（JPCERT/CC）。
考察
「アカウントの不正利用による操作」という説明からは、パスワードの使い回しやフィッシングで盗まれた認証情報、あるいは外部からつながる入口の認証情報が使われた可能性が考えられる。ただし同社は手口を「攻撃手段の特定と対応を開始」とするにとどめており、どれかは判断できない（考察）。
利用者・運用者がいまできること
- 「一番くじ ONLINE」の利用者は、配送や当選・未着をかたる心当たりのない電話・郵送物・SMSに応じない。確認は公式サイトから行う。
- 配送の遅れが気になる場合も、届いた連絡のリンクや電話番号ではなく、公式サイトのお知らせで状況を確認する。
- 物流や委託先の運用者は、業務システムのアカウントに多要素認証がかかっているか、通常と違う時間帯・場所からの操作を検知できるかを点検する。