対象：一番くじONLINEで商品を届けてもらったことがある人と、配送を外部の物流会社に任せている通販・EC の運営者。本記事はバンダイナムコホールディングス・BANDAI SPIRITS・バンダイロジパルの3社による公式発表にもとづく解説で、攻撃や詐欺の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月28日時点まだ分かっていないこと
- 件数・対象となる人の範囲（いつの配送情報か）
- 不正アクセスの経路・原因
- 出荷システムの再開時期
- 対象者への注意喚起の方法
- 一番くじONLINEの注文・配送への影響
3社は10月26日の第1報で、件数などの詳細は「現在調査中のため判明次第お知らせいたします」とし、当該出荷システムの安全性が確認されて利用を再開する際と、件数など新たに知らせるべき事実が分かった場合に、続報を出すとしています。10月28日にバンダイナムコホールディングスのプレスリリース一覧と一番くじONLINEのお知らせ一覧を確認した時点で、続報（第2報）は出ていません。
一番くじONLINEで商品を届けてもらった人が今日やること
心当たりのない電話には、その場で何も答えない
3社は、本件に関連して不審な電話が届く可能性があるとしています。「一番くじの賞品の発送について」「お届け先の確認」「情報漏えいのお詫びと補償」といった用件は、一番くじONLINEを使った人には自然に聞こえます。
電話で氏名や住所を言い当てられても、本物の根拠にはなりません。漏えいした可能性がある情報そのものだからです。カード番号、口座、認証コード、生年月日などを聞かれたら答えずに切り、自分で公式の窓口に確かめてください。
郵便物の電話番号・URL・QRコードには連絡しない
3社は、不審な郵送物が届く可能性も挙げています。一般に、住所が知られると、請求書や当選通知、返金・補償の案内を装った郵便物が送れます。郵便物に書かれた連絡先ではなく、自分で開いた一番くじONLINEの公式サイトから確かめてください。
確かめたいときは、公式サイトの問い合わせフォームを使う
発表に載っている一番くじONLINE会員の問い合わせ先は、一番くじONLINEの問い合わせフォーム（on-line.1kuji.com）です。電話番号は発表に載っていません。電話や郵便物、メールで案内された別の窓口ではなく、こちらを使ってください。
3社からの注意喚起を受け取ったら、中身を公式サイトで確かめる
3社は10月26日に、漏えいが疑われる個人情報の対象者へ注意喚起をしたとしていますが、メールか郵便かなど、その方法は書かれていません。本物の案内に似せた偽の連絡が出ることもあるため、届いた案内のリンクや電話番号は使わず、公式サイトのお知らせと問い合わせフォームで確かめてください。
カードやパスワードは、発表では対象外・記載なし
クレジットカード情報は含まれていないとされ、パスワードは漏えいの可能性がある情報に挙がっていません。発表ではパスワードの変更も求められていません。ほかのサービスと同じパスワードを使い回している人は、この機会に見直すと、今後の偽の連絡への備えにもなります（パスワードマネージャーの選び方）。
何が起きたのか（3社の発表より）
株式会社バンダイナムコホールディングス、株式会社BANDAI SPIRITS、株式会社バンダイロジパルの3社は2026年10月26日、「株式会社バンダイロジパルへの不正アクセスについてのお知らせ（第1報）」を出しました。バンダイロジパルは、バンダイナムコホールディングスの物流子会社です。一番くじONLINEはBANDAI SPIRITSのサービスで、その商品配送業務をバンダイロジパルに委託しています。以下はすべて3社の発表内容です。
2026年10月21日（水）
バンダイロジパルが管理する物流システム内のサーバーで、不正アクセスの疑いのある痕跡を発見。直ちにサーバーをシャットダウンし、原因と影響範囲の調査に着手。同日、同社アカウントの不正利用による操作が行われたことを確認し、緊急対策を実施。10月22日（木）
バンダイロジパル社内に対策本部を設置し、物流システム全体を調査。一番くじONLINEの配送情報が格納されるサーバーに不正アクセスの疑いのある痕跡が確認され、登録されているお客様情報の一部に漏えいの疑いがあると判明。10月23日（金）
不正操作の可能性が及ぶ範囲を特定。システムの全体調査と対策が完了するまでシステムを停止することを決め、停止作業に着手。10月24日（土）
当該物流システムを停止。10月26日（月）
警察と個人情報保護委員会へ報告。漏えいが疑われる個人情報の対象者への注意喚起と、システム停止で影響が生じる取引先への告知を実施。第1報を公表。
BANDAI SPIRITS「一番くじONLINE」
商品配送業務をバンダイロジパルに委託
バンダイロジパルの物流システム
一番くじONLINEの配送情報が格納されるサーバーに、不正アクセスの疑いのある痕跡
氏名・住所・電話番号が漏えいした可能性。カード情報は含まれない（3社）
↓ 起こりうること（一般に）
一番くじ・バンダイを名乗る不審な電話や郵便物
その場で答えず、公式サイトの問い合わせフォームで確かめる
- 不正アクセスを受けたシステム
- バンダイロジパルが管理するシステム（物流システム内のサーバー）。一番くじONLINEの配送情報が格納されるサーバーに、不正アクセスの疑いのある痕跡が確認された
- 漏えいした可能性がある情報
- 一番くじONLINEの配送情報（氏名・住所・電話番号）
- 含まれないもの
- クレジットカード情報
- 件数
- 調査中（判明しだい知らせるとしている）
- 不正使用
- 現時点で確認されていない
- 停止したもの
- 10月24日に当該物流システムを停止。本文では、安全性が確認できるまで10月26日からバンダイロジパルにおける当該出荷システムを一時停止するとしている
- 届け出
- 10月26日に警察と個人情報保護委員会へ報告
- 問い合わせ
- 一番くじONLINE会員の問い合わせ先：一番くじONLINEの問い合わせフォーム（on-line.1kuji.com）
分かっていること・分かっていないこと
2026年10月28日時点の、3社の10月26日の第1報をもとに整理しました。続報が出たら、状態の欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 氏名（配送情報） | 漏えいした可能性がある個人情報として記載 | 可能性（3社） |
| 住所（配送情報） | 漏えいした可能性がある個人情報として記載 | 可能性（3社） |
| 電話番号（配送情報） | 漏えいした可能性がある個人情報として記載 | 可能性（3社） |
| クレジットカード情報 | 含まれていない | 含まれない（3社） |
| メールアドレス | 漏えいの可能性がある情報の一覧にない | 記載なし |
| パスワード | 漏えいの可能性がある情報の一覧にない | 記載なし |
| 注文の内容（商品名など） | 漏えいの可能性がある情報の一覧にない | 記載なし |
| 件数・対象となる人の範囲 | 現在調査中、判明しだい知らせる | 調査中 |
| 不正使用 | 現時点で確認されていない | 確認されていない（3社） |
| アカウントの不正利用 | 10月21日、バンダイロジパルのアカウントの不正利用による操作を確認 | 確定（3社） |
| 不正アクセスの経路・原因 | 書かれていない（攻撃手段の特定と対応を開始したとしている） | 記載なし |
| 対象者への注意喚起 | 10月26日に実施。方法は書かれていない | 確定（3社） |
| 出荷システムの停止と再開 | 10月26日から一時停止。再開する際に続報を出すとしている | 確定（3社） |
| 一番くじONLINEの注文・配送への影響 | 書かれていない | 記載なし |
「記載なし」は「漏れていない」ではありません
メールアドレス・パスワード・注文の内容は、漏えいの可能性がある情報の一覧に挙がっていないだけで、3社は「含まれない」とは書いていません（「含まれない」と明記したのはクレジットカード情報だけです）。また、発表の経緯の欄では10月24日に「当該物流システム」を停止したとあり、本文では10月26日から「当該出荷システム」を一時停止するとしています。2つのシステムの関係は書かれていないため、本記事では発表の言葉どおりに載せています。
氏名・住所・電話番号で何が起きうるか
一般に、届け先の氏名・住所・電話番号が「一番くじONLINEを使った人」という情報と結びつくと、次のことが起きえます（この事件で起きたという発表はありません。3社も現時点で不正使用等は確認されていないとしています）。
一般に起こりうること
- 一番くじやバンダイを名乗り、「賞品の発送」「お届け先の確認」を口実にする電話
- 「情報漏えいの補償」「返金」を装い、口座やカード番号を聞き出す電話
- 請求書・当選通知・お詫びを装った郵便物で、偽の連絡先に誘う
- 電話番号あての、宅配業者や通販を装う SMS
自分でできること
- 電話ではその場で答えず、いったん切る
- 郵便物の連絡先ではなく、自分で開いた公式サイトで確かめる
- カード番号・口座・認証コードは電話や郵便で伝えない
- 問い合わせは発表にある問い合わせフォームへ
電話や郵便は、メールのように迷惑メールの仕分けが働かず、相手が住所や氏名を知っていると信じやすくなります。届け先の情報が漏えいした過去の事案として、ヤマト運輸・佐川急便の不正アクセス でも、偽の不在通知や督促への備えを整理しています。
配送を外部の物流会社に任せている運営者へ
不正アクセスの経路は公表されていません。ここでは、公表された経緯から言えることに絞ります（原因の推測ではなく、一般に見直せる点です）。
物流側に渡した配送情報が、どこに・いつまで残るかを把握する
今回、漏えいの可能性があるのは、通販サービスの運営会社が物流会社に渡した配送情報でした（発表では両社ともバンダイナムコグループの会社です）。一般に、配送のために渡した氏名・住所・電話番号は、出荷が終わった後も物流側のサーバーに残ることがあります。委託先との間で、保存する期間と、期間を過ぎたら消すことを決めておくと、事故のときに対象になる人を減らせます。
業務アカウントの操作を、見て気づける状態にしておく
発表では、痕跡の発見と同じ日に、アカウントの不正利用による操作が行われたことを確認しています。どのように不正利用されたかは書かれていません。一般に、物流などの業務システムのアカウントは、多要素認証を使い、普段と違う時間帯や操作を記録して確かめられるようにしておくと、異常に早く気づけます。
止めたときに誰へ何を伝えるかを、先に決めておく
今回は、痕跡を見つけた当日にそのサーバーをシャットダウンし、当該物流システムの停止まで3日、公表と当局への報告まで5日でした。発表では、停止で影響が生じる取引先への告知もしています。一般に、物流システムを止めると、委託元の通販サービスや取引先の出荷に影響が出ます。委託元の利用者に誰がどう知らせるかを、契約や手順で事前に決めておきます。
出典（公開記録）
本記事の事実関係は、以下の公開情報にもとづきます。公表されていない件数・原因・攻撃の手法は推測していません。
- 株式会社バンダイナムコホールディングス・株式会社BANDAI SPIRITS・株式会社バンダイロジパル「株式会社バンダイロジパルへの不正アクセスについてのお知らせ（第1報）」（2026年10月26日、PDF、10月28日に確認） — bandainamco.co.jp
- 一番くじONLINE「お知らせ」一覧（10月28日に確認。本件のお知らせは載っていない） — on-line.1kuji.com
更新履歴
2026-10-28：初版。3社の10月26日の第1報にもとづく。件数や出荷システムの再開などの続報が出たら更新します。
次に読む
- 届け先の情報が漏えいした事案：ヤマト運輸・佐川急便の不正アクセス（宅配の送り主・届け先）
- ホビー・アニメグッズの通販の事案：らしんばんの不正アクセス
- 偽の連絡の見分け方：フィッシングとは ／ スマホを安全に使う基本
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）