対象：EC の物流（倉庫・発送）を受託する事業者の委託元ネットショップで、2026年4月8日から11月8日までに買い物をした人。本記事は事業者と各ショップの公式発表にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
EC の物流（倉庫・発送）を受託する事業者の委託元ネットショップで、2026年4月8日から11月8日までに買い物をした人。
- 影響が確認された範囲表で見る ↓
- 不正アクセスの発生
- 経路の遮断
- 対象の出荷データの期間
さらに1件
- 当局への報告
可能性があるとされた項目
- お届け先の氏名・住所・電話番号
- メールアドレス
- 商品情報（商品名・数量など）
- 未確認事項
- 物流事業者が公表する対象の範囲と件数
- 原因（不正アクセスの経路）
- 各ショップの対象者数（多くが調査中）
さらに2件
- 対象者への個別連絡の時期と方法
- 情報の悪用の有無
- 今やること手順を見る ↓
- 購入したショップの公式サイトで、お知らせを確認する
- 配送通知を装った連絡に応じない
- 「購入内容を知っている」連絡を疑う
さらに3件
- 電話の相手を確かめる
- クレジットカードは、念のため明細を見る
- 情報を入力した・お金を払ったときは、すぐ相談する
- 最終確認日時
- 2026年11月15日時点
発表の続報予定と確認の記録
物流事業者は、原因・侵入経路・影響範囲を外部の専門機関と調査中で、新たな事実が分かれば速やかに知らせるとしています。テレビ東京コミュニケーションズは、物流事業者に対象の件数と対象者の特定を急ぐよう求めているとしています。2026年11月15日に各社の発表を確認した範囲では、件数の公表は、BONX の「最大1,144件」だけでした。
購入者が今日やること
購入したショップの公式サイトで、お知らせを確認する
どのネットショップがこの物流事業者に出荷を委託しているかは、買い物をした人には分かりません。2026年4月8日から11月8日までに買い物をしたショップの公式サイトを、ブックマークや検索から自分で開き、「お知らせ」を確認してください。下の一覧に載せた6社は、各社の公式発表を読んで確かめたものです。ほかにも発表している会社があります。
対象者への連絡は、複数の会社が「特定を進めている」「個別に連絡する予定」と書いています。連絡が来るまで待たず、まず公式サイトで自分が買ったショップを確かめてください。メールで案内が届いても、本文のリンクではなく公式サイトから確認します。
配送通知を装った連絡に応じない
物流事業者は、お届け先に、身に覚えのない配送通知は開かないこと、不審なURLにアクセスしないこと、個人情報や決済情報の入力を求められても応じないことを伝えてほしいとしています。ブレイブグループも、配送業者を装った電話・メール・SMS に注意するよう呼びかけています。
配送の連絡が本物か迷ったときは、注文したショップのサイトにある注文履歴の追跡番号から、配送会社の公式サイトで自分で確かめてください。見分け方は フィッシングとは にまとめています。
「購入内容を知っている」連絡を疑う
流出した可能性のある情報には、商品名と数量が含まれます。買った商品を言い当てられても、本物とは限りません（当サイトの見解）。「ご注文の〇〇の代金が未払い」「購入した商品の返品手続き」「キャンセルの確認」など、購入内容を理由にした連絡は、ショップの公式サイトにログインして、注文履歴にその内容があるかを確かめてください。なければ応じません。
電話の相手を確かめる
電話番号と氏名、住所が分かると、電話での連絡も本物らしくなります。ショップや配送会社を名乗る電話で、個人情報の確認、支払い、アプリの操作を求められたら、いったん切り、公式サイトに載っている番号に自分からかけ直します。テレビ東京コミュニケーションズは、番組等を装った連絡にも注意するよう書いています。
クレジットカードは、念のため明細を見る
物流事業者は、クレジットカード番号を保有しておらず、対象外としています。そのため、この件でカードの再発行が必要という発表は見当たりません。ただし、偽の連絡でカード情報を入力させる手口に備えて、利用明細を時々確認してください。
情報を入力した・お金を払ったときは、すぐ相談する
不審な連絡のリンク先で情報を入力した、または支払ってしまった場合は、カード会社や銀行にすぐ連絡してください。警察相談専用電話（#9110）や消費者ホットライン（188）にも相談できます。アカウントの不審な動きは 不正アクセスされたか確認する方法 を参照してください。
何が起きたのか（物流事業者と各ショップの発表より）
EC の物流（倉庫・発送）を受託する事業者は2026年11月11日、自社のシステムへの不正アクセスについて、公式サイトでお知らせしました。複数のネットショップが同じ日以降に、自社の顧客への影響を公表しています。各社の発表は委託先を株式会社オープンロジと名指ししており、同社自身の発表もこの件を扱っています。以下は、各社の発表内容です。
11月8日〜9日
物流事業者のシステムに対して、外部の第三者による不正アクセスが発生し、出荷データの一部が外部に持ち出された（同社の発表）。11月9日
物流事業者が、把握している不正アクセスの経路を遮断した。以降、新たな不正アクセスは確認されていない。緊急メンテナンスを実施した（同社、ブレイブグループ、BONX の発表）。11月10日
ブレイブグループが、物流事業者から連絡を受けた。認証情報の再設定など必要な対応を行ったとしている。11月11日
物流事業者が、お知らせを掲載。テレビ東京コミュニケーションズ、Palette Project OFFICIAL STORE、BONX などの各ショップも、同日に発表した。11月12日〜13日
VAZ とウェザーニューズ（11月12日）、ブレイブグループ（11月13日）が発表した。
- 発生
- 2026年11月8日から9日にかけて、外部の第三者による不正アクセスが発生し、出荷データの一部が外部に持ち出された
- 対象期間
- 2026年4月8日から11月8日までに依頼された出荷データ
- 流出した可能性のある情報
- お届け先の氏名、住所、電話番号、メールアドレス（登録されている場合）、お届けする商品情報（商品名、数量など）
- 含まれないもの
- クレジットカード番号（同社は保有していない）
- 件数
- 調査中（未公表）
- 原因
- 外部の第三者による不正アクセス（経路・方法は調査中で、公表されていない）
- 対応
- 11月9日に経路を遮断。緊急メンテナンスを実施。倉庫の入荷・出荷業務は、緊急メンテナンスによる一部のシステム操作への影響を除き、概ね通常どおり。個人情報保護委員会への報告と警察への相談を進める予定
- 悪用
- 2026年11月11日時点で、悪用や二次被害は確認されていない
公表した各ショップ（公式の発表を読めた6社）
次の表は、各社の公式サイトの発表を開いて確認できた会社だけを載せています。件数・対象・状態は各社の書き方のままで、足し合わせることはできません。同じ人が複数のショップで買い物をしている場合もあります。ほかにも発表している会社があり、この表は全体の一覧ではありません。
| ショップ・サービス | 発表日 | 件数 | 状態（各社の発表） |
|---|---|---|---|
| ブレイブグループ（ぶいすぽっ！オフィシャルオンラインストア、ゆにれいど！ OFFICIAL STORE、YUMENOS OFFICIAL STORE、RIOT MUSIC OFFICIAL STORE、RIONECTION OFFICIAL STORE、AMICIS、Xross Stars Official Online Store、HIMEHINA MART、Neo-Porte official Shop、GΔ59 OFFICIAL ONLINE STORE、Brave group US Official Store の11件） | 11月13日 | 記載なし | 漏えいを確認（ブレイブグループ。グループの顧客情報の一部が持ち出されたことが判明したとあり、上の11件を対象の可能性があるサービスとしている）。個人情報保護委員会へ報告済み |
| テレビ東京コミュニケーションズ（エンしゃべストア、東京パソコンクラブ公式オンラインストア、お互いさまっす公式オンラインショップ） | 11月11日 | 記載なし。物流事業者に件数と対象者の特定を急ぐよう求めている | 可能性（同社。配送先情報の一部が持ち出された可能性がある）。被害は確認されていない |
| Palette Project OFFICIAL STORE（jig.jp） | 11月11日 | 記載なし | 可能性（同社）。対象情報を特定中で、対象者には個別に連絡する予定。クレジットカード情報とログインパスワードは、委託先が保有しておらず流出していない（同社） |
| メルシーフロムクラスルーム（VAZ） | 11月12日 | 記載なし | 漏えいを確認（同社。「漏えいした情報には、以下の項目が含まれます」と書いている）。悪用や二次被害は確認されていない |
| SORASHOP（ウェザーニューズ） | 11月12日 | 調査中 | 可能性（同社。出荷データの一部が持ち出された）。物流事業者の利用を停止し、代替の配送体制に切り替えた。対象者には個別に案内する予定 |
| BONX | 11月11日 | 最大1,144件（対象の上限で、確定した数ではない） | 可能性（同社）。購入・交換の手続きをした人が対象で、Amazon・楽天などで購入が完結した場合は対象外。出荷は再開済み。個人情報保護委員会への報告手続きを進めている |
分かっていること・分かっていないこと
2026年11月15日時点の、物流事業者の発表（11月11日）と各社の発表をもとに整理しました。続報が出たら、状態の欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 不正アクセスの発生 | 11月8日から9日にかけて発生し、出荷データの一部が外部に持ち出された | 確定（物流事業者） |
| 経路の遮断 | 11月9日に把握している経路を遮断。以降の新たな不正アクセスは確認されていない | 確定（物流事業者） |
| 対象の出荷データの期間 | 2026年4月8日から11月8日までに依頼された出荷データ | 確定（物流事業者） |
| お届け先の氏名・住所・電話番号 | 流出した可能性のある情報に含まれる | 可能性（物流事業者） |
| メールアドレス | 登録されている場合に含まれる（BONX は、出荷時の通知を希望した人のみとしている） | 可能性（物流事業者） |
| 商品情報（商品名・数量など） | 流出した可能性のある情報に含まれる | 可能性（物流事業者） |
| クレジットカード番号 | 物流事業者は保有していない | 含まれない（物流事業者） |
| ショップのログインパスワード | 物流事業者の発表には記載がない。Palette Project OFFICIAL STORE は、委託先が保有しておらず流出していないとしている | 記載なし |
| 対象の件数 | 物流事業者は範囲と件数を調査中。ショップごとの件数は多くが未公表 | 調査中 |
| 原因・侵入経路 | 外部の専門機関と調査中 | 調査中 |
| 悪用・二次被害 | 11月11日時点で確認されていない（物流事業者）。ブレイブグループ、テレビ東京コミュニケーションズ、Palette Project OFFICIAL STORE、VAZ、ウェザーニューズも、確認されていないとしている | 記載なし |
| 対象者への個別連絡 | Palette Project OFFICIAL STORE とウェザーニューズは個別に連絡・案内する予定。BONX は特定でき次第対応する方向 | 調査中 |
| 当局への報告 | ブレイブグループは個人情報保護委員会へ報告済み。物流事業者は報告と警察への相談を進める予定としている | 確定（ブレイブグループ） |
配送先の氏名・住所・電話番号・商品情報で何が起きうるか
次の表は、一般にこうした項目の組み合わせで起こり得ることです。この件で実際に起きたという意味ではありません。
| 流出した可能性のある項目 | 一般に起こり得ること | 購入者の行動 |
|---|---|---|
| 氏名＋電話番号 | 配送会社やショップを名乗るSMS・電話 | 番号にかけ直さず、公式サイトで確かめる |
| 氏名＋住所＋商品情報 | 「ご注文の商品の件」を装う、購入内容を知っている前提の請求・確認 | 注文履歴に同じ内容があるか、ログインして確かめる |
| メールアドレス＋商品情報 | 注文確認や出荷通知に似せたメール | メールのリンクを開かず、公式サイトから確認する |
| 住所 | 本人宛の郵便物、不在票を装った連絡 | 不在票や連絡のURL・QRコードから入力しない |
流出した可能性のある情報で起こり得ること
- 配送業者やショップを名乗る、本物らしいメール・SMS・電話
- 購入した商品名を挙げた、請求・返品・キャンセルの連絡
- 電話番号と住所を使った、なりすましの電話
発表の範囲で、対象外とされているもの
- クレジットカード番号（物流事業者は保有していない）
- テレビ東京コミュニケーションズ：決済関連情報の流出はない
- Palette Project OFFICIAL STORE：ログインパスワードは委託先が保有しておらず流出していない（同社）
運営者が見直すこと：物流の委託先に渡す配送データの範囲
原因の詳細は公表されていないため、ここでは公表された事実から言えることだけを書きます。
- 委託先の1つの侵害が、複数の自社サービスに及ぶ：今回、同じ物流事業者を使う多くのネットショップが同時期に告知を出しています。出荷を委託している事業者は、委託先から対象データの範囲・件数の連絡を受けたときに、顧客へ案内する文面・窓口を先に用意しておくと、発表までの時間を短くできます（当サイトの見解）。
- 渡す項目と保管期間を見直す：今回の対象は2026年4月8日から11月8日までの出荷データです。一般に、配送に必要な項目だけを渡す、メールアドレスは必要な人だけに渡す（BONX の発表では、出荷時の通知を希望した人のみ）、出荷が終わったデータを委託先に長く残さない、といった整理で、1か所の侵害で漏れる範囲を小さくできます。
- 委託先のシステムにログインする認証情報を見直す：ブレイブグループは、物流事業者から連絡を受けて、認証情報の再設定など必要な対応を行ったとしています。委託先のシステムの管理画面や連携用の認証情報は、連絡を受けたらすぐ再設定できるように、使っている場所を把握しておいてください。
出典（公開記録）
本記事の事実関係は、以下の公式発表にもとづきます。公表されていない原因の詳細は推測していません。各ショップの題名は、役割で言い換えています。
- 物流事業者「当社システムへの不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026年11月11日） — corp.openlogi.com
- テレビ東京コミュニケーションズ「【重要なお知らせ】EC業務委託先における不正アクセスに伴う個人情報流出について」（2026年11月11日） — tv-tokyo.co.jp
- ブレイブグループ「委託先による不正アクセスに伴う、お客様情報の漏えいについてのお知らせとお詫び」（2026年11月13日） — bravegroup.co.jp
- Palette Project OFFICIAL STORE「【重要なお知らせ】委託先への不正アクセスによる個人情報流出の可能性について」（2026年11月11日） — paletteproject.jp
- VAZ「【重要】業務委託先への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026年11月12日） — vaz.co.jp
- ウェザーニューズ「配送業務委託先への不正アクセスによるお客様情報漏えいの可能性について」（2026年11月12日） — jp.weathernews.com
- BONX「第一報」（2026年11月11日） — bonx.co
更新履歴
2026-11-15：初版。物流事業者の11月11日の発表と、公式サイトで発表を読めた6社（ブレイブグループ、テレビ東京コミュニケーションズ、Palette Project OFFICIAL STORE、VAZ、ウェザーニューズ、BONX）の発表にもとづく。同日に各社の発表を確認し、物流事業者の続報は見当たらなかった。
次に読む
- 同じ時期の、委託先経由の事案：メール配信サービスへの不正アクセス（委託先経由の別の事案）
- 偽の連絡の見分け方：フィッシングとは ／ スマホを安全に使う基本
- 口座やアカウントの不審な動き：不正アクセスされたか確認する方法
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）