要点
発表された事実
- オープンロジは2026年11月11日、同社システムが外部の第三者による不正アクセスを受け、預かっている出荷データに含まれるお届け先の個人情報などが外部に持ち出されたことを確認したと発表した（オープンロジ）。
- 不正アクセスは11月8日から9日にかけて発生した。11月9日に把握している経路を遮断し、以降の新たな不正アクセスは確認されていない（同）。
- 漏えいしたのは、4月8日から11月8日までに依頼された出荷データのお届け先の氏名、住所、電話番号、メールアドレス（登録がある場合）、商品情報（商品名、数量等）。範囲と件数は調査中。同社はカード番号を保有していない（同）。
- 荷主の一つアデリアは、オープンロジ社の報告として、攻撃元の遮断、国外アクセス制限、不正アカウントの削除などの対策が講じられたと説明している（津軽びいどろオンラインショップ）。
- 倉庫の入出荷業務は、緊急メンテナンスに伴う一部操作を除き通常どおり。悪用や二次被害は確認されていない（オープンロジ）。
わかったこと
- 【2026-11-13追記】ビームスは11月12日、ブランド「Setinn（セットイン）」の単独ECサイトと「BEAMS公式TikTok Shop」（終了済み）の出荷データに含まれる個人情報が漏えいした可能性があると公表した。「BEAMS公式オンラインショップ」への影響はない（ビームス）。
- 【2026-11-13追記】ユナイテッドアローズも11月12日、海外向けECサイト「ユナイテッドアローズ グローバル オンライン」と「TABAYA United Arrows」の出荷データが対象と公表した。国内の「ユナイテッドアローズ オンライン」への影響はなく、個人情報保護委員会には11月13日付で報告する予定（ユナイテッドアローズ）。
- 【2026-11-13追記】オープンロジ自身の第2報（件数など）は11月13日朝の時点で確認できていない。
わかっていないこと
- 漏えいした件数と、影響を受けた荷主の数。
- 侵入経路と原因（荷主が触れた「不正アカウント」がどう作られたか）。
- 持ち出しに使われた機能。
- 外部専門機関の調査結果。
関係しそうな既知の手口
- （考察）配送を担う委託先から複数の荷主の顧客情報が一度に取られた例にはCBcloud「ピックゴー」がある。物流事業者は多くのEC事業者の配送先を一か所にまとめて持つため、一社の侵害が多数の荷主に広がる。
概要
- 荷主側の公表として、HUMAN MADE（「CURRY UP」のECサイト）（日本経済新聞）、SKIYAKI（「Bitfan」）（SKIYAKI）、マイネット（累計25件）（マイネット）、アデリア（「津軽びいどろオンラインショップ」、管理画面のログインアカウント等の認証情報を11月10日にリセット）（津軽びいどろオンラインショップ）が確認できた。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-11-08〜09 | 第三者による不正アクセス、出荷データの一部が持ち出される | オープンロジ |
| 2026-11-09 | 把握している経路を遮断 | 同 |
| 2026-11-10 | アデリアが管理画面の認証情報をリセット | 津軽びいどろオンラインショップ |
| 2026-11-11 | オープンロジと複数の荷主が公表 | オープンロジ |
| 2026-11-12 | ビームス（Setinn・BEAMS公式TikTok Shop）、ユナイテッドアローズ（海外向けEC）が公表（【2026-11-13追記】） | ビームス、ユナイテッドアローズ |
発表内容の整理
事実（オープンロジの11月11日の発表による）
| 項目 | 内容 |
|---|---|
| 対象 | オープンロジのシステム（出荷データ） |
| 期間 | 2026年4月8日〜11月8日に依頼された出荷データ |
| 項目 | お届け先の氏名、住所、電話番号、メールアドレス（登録時）、商品情報 |
| 対象外 | クレジットカード番号（保有なし） |
| 件数 | 調査中 |
| 対応 | 経路遮断、緊急メンテナンス、外部専門機関と調査、個人情報保護委員会への報告・警察への相談を予定 |
出典：オープンロジ「【重要】当社システムへの不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026-11-11）
考察
- 漏れたのは「誰に・どこへ・何を送ったか」の組み合わせで、宅配業者を装うSMSや、注文内容に触れた詐欺メールの材料になりやすい。ギフトなどでは注文者でないお届け先の人も対象になる点に注意が要る。
- 荷主の発表にある「国外アクセス制限」「不正アカウントの削除」から、攻撃者が何らかのアカウントを作って使ったことがうかがえる。ただし、それがどの画面で、どの権限だったのかは公表されていない。
- 漏えい期間が4月8日からの約7か月分に区切られていることから、システム上の保存期間か、取得された範囲に関係していると考えられるが、理由は説明されていない。
利用者・運用者がいまできること
- 利用者：身に覚えのない配送通知のSMSやメールのリンクは開かず、ID・パスワード・カード情報を入力しない。家族や知人宛てに送った品があれば、その相手にも伝える。
- 荷主：オープンロジ管理画面の認証情報を変更し、自社アカウントに不審な操作がないか確認する。自社の顧客への周知の要否を判断する。
- 運用者一般：委託先に渡しているデータの保存期間と、委託先のアカウント管理（多要素認証、海外からのアクセス制限）を確認する。
参考リンク
- オープンロジ「【重要】当社システムへの不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026-11-11）
- アデリア「出荷連携システムにおける第三者不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026-11-11）
- SKIYAKI「業務委託先（株式会社オープンロジ）への不正アクセスによる個人情報流出に関するお知らせとお詫び【第一報】」（2026-11-11）
- マイネット「【重要】「オープンロジ」不正アクセスに伴う影響調査のお知らせ」（2026-11-11）
- ビームス「委託先システムの不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ（Setinn公式サイト・BEAMS公式TikTok Shop）」（2026-11-12）
- ユナイテッドアローズ「外部委託先システム「オープンロジ」における個人情報漏えいに関するお詫びとご報告」（2026-11-12）
- 日本経済新聞「HUMAN MADE、情報漏洩の恐れ 物流業務委託会社へ不正アクセス」（2026-11-11）