物流プラットフォームのオープンロジが外部からの不正アクセスを受け、保管・発送を受託している出荷データのうち、届け先の個人情報が持ち出されました。同社は2026年11月11日に公表し、対象は4月8日から11月8日までに依頼された出荷です。同じ日に、物流を委託するHUMAN MADE、SKIYAKI、Palette Project、マイネットも自社の顧客が含まれる可能性を告知しました。前半では届け先になった人の確かめ方を、後半では荷主が自社の注文データから対象者を抜き出し、通知の手段と報告の期限を決める手順をPythonの例とともに整理します。
まとめ：オープンロジの不正アクセスで持ち出された届け先情報と荷主が今週行うこと
オープンロジの公表文によると、不正アクセスは11月8日から9日にかけて起き、9日に把握済みの経路を遮断しました。以降の新たな不正アクセスは確認されていません。
| 項目 | 公表内容（11月11日時点） |
|---|---|
| 対象の出荷 | 2026年4月8日〜11月8日の出荷依頼分 |
| 持ち出された情報 | 届け先の連絡先と商品情報 |
| 対象外 | クレジットカード番号（同社は保有していない） |
| 件数・範囲 | 調査中 |
| 二次被害 | 確認されていない |
| 倉庫の業務 | 一部操作を除き入荷・出荷は通常どおり |
連絡先と商品情報の中身は、届け先の氏名・住所・電話番号・メールアドレス（登録時）・商品名と数量などが含まれます。
届け先になった人は、オープンロジではなく商品を買ったショップから連絡を受けるのが基本の流れです。公表文は、荷主（ショップ）から届け先へ注意を伝えるよう求めています。配送業者を装ったメールやSMSのURLは開かないでください。
荷主が今週行うことは3つです。対象期間に出荷を依頼した注文を自社のデータから抜き出す。届け先ごとに通知の手段を決める。委託先から連絡を受けた日を起点に、個人情報保護委員会への報告期限を数える。
届け先になった人向け：自分が対象かの見分け方と配送業者を装うSMS・メールへの備え
4月8日から11月8日の間に通販の荷物を受け取った人が確かめる3つの手がかり
オープンロジは、ネットショップから商品の保管と発送を引き受ける会社です。荷物の伝票に同社の名前が出ないこともあるため、受け取った側が自分で気づくのは難しい構造です。
手がかりは3つあります。1つ目は、その期間に買い物をしたショップからのお知らせメールです。Palette Projectは、対象者を特定でき次第、個別に連絡するとしています。2つ目は、ショップの公式サイトに載る告知で、今回はHUMAN MADEの「CURRY UP」、SKIYAKIの「Bitfan」上のストア、Palette Project OFFICIAL STOREが名乗り出ています。3つ目は、贈り物として受け取った荷物です。届け先として名前と住所が入っているので、自分が買っていなくても対象になりえます。
商品名まで知られた相手からの「再配達」「返金」連絡に応じない理由と窓口
持ち出された情報には、商品名と数量が含まれます。実際に届いた品名を書いた連絡が来ると、本物と思い込みやすいため注意が必要です。オープンロジは、身に覚えのない配送通知を開かない、不審なURLにアクセスしない、個人情報や決済情報の入力に応じない、の3点を挙げています。
問い合わせはオープンロジの窓口（cs@openlogi.com）が24時間受け付け、回答は平日8時30分から17時の間に順次です。電話窓口は公表文にありません。電話で「オープンロジです」と名乗られた場合は、いったん切ってショップの公式サイトから確かめます。SMSの番号と文面で本物かを見分ける考え方は、イエローハットの情報漏洩で届いたSMSと電話番号の確認でも扱いました。
公表資料で追う経緯：11月8日の侵入から11日の公表と委託元4社が出した第一報の違い
オープンロジの対応とHUMAN MADEの開示に書かれた国外制限・ログインのリセット
オープンロジの公表文が書く対応は、経路の遮断、緊急メンテナンス、外部の専門機関と組んだ原因と侵入経路の調査、個人情報保護委員会への報告と警察への相談です。より具体的な対応は、荷主側の開示に出ています。
HUMAN MADEの適時開示は、オープンロジが11月9日に攻撃元の遮断、日本国外からのアクセス制限、全ユーザーのログイン状態のリセットを行ったと書いています。ログイン状態を全員分リセットしたことから、管理画面のセッションや利用者アカウントが調査の範囲に入っていると読めます。ただし侵入の経路そのものは公表されていません。
委託元4社の告知で異なる対象サービス・持ち出された情報の項目と件数
HUMAN MADE・SKIYAKI・Palette Project・マイネットの委託元4社の告知を並べると、書いている範囲に差があります。
| 委託元 | 対象のサービス | 告知の要点 |
|---|---|---|
| HUMAN MADE | CURRY UPのECサイト | 他ブランドは影響なし・業績影響は軽微 |
| SKIYAKI | Bitfan上のストア | 第一報。範囲と件数を確認中 |
| Palette Project | OFFICIAL STORE | 住所は建物名・会社名を含む。個別に連絡予定 |
| マイネット | グループの一部サービス | 累計25件。氏名・住所・電話番号 |
Palette Projectの告知は、住所に郵便番号・建物名・会社名まで含むと明記しました。マイネットの告知は、自社が預けた件数を累計25件と数えています。委託元が自社の預けた件数を先に数えられたのは、どの注文をオープンロジに回したかを自社側で記録していたからです。SKIYAKIの第一報は、委託先の管理・監督体制の見直しにも触れました。
荷主の実装：出荷依頼日で対象注文を抜き出し届け先ごとに通知手段を決めるPythonの例
注文日でも配達日でもなく「依頼した出荷」で区切る理由と期間の両端の扱い
公表文の対象は「2026年4月8日から11月8日までにご依頼いただいた出荷データ」です。注文日で抜き出すと、予約商品のように注文から出荷依頼まで間が空く注文を取りこぼします。配達日で抜き出すと、11月8日に依頼して9日以降に届いた荷物が外れます。
区切りは出荷依頼の日時を日本時間で見て、両端の日を含める扱いです。自社のデータベースが協定世界時（UTC）で時刻を持っている場合、4月8日の0時から9時までの依頼は前日の日付で保存されている点に注意します。分割出荷で1注文に複数の依頼がある場合は、依頼の単位で数えます。
届け先を名寄せし、メール・注文者経由・郵送に振り分ける標準ライブラリのコード
次のコードは、Pythonのsqlite3でメモリ上に注文7件を作り、委託先がオープンロジで、出荷依頼日が対象期間に入る注文を抜き出します。同じ届け先は氏名と電話番号の数字で1行にまとめ、csvモジュールで通知先リストとして書き出します。
# 委託先の流出対象期間に出荷依頼した注文から、通知先リストを作る（Python 3.9以上・標準ライブラリのみ）
import csv
import re
import sqlite3
import sys
db = sqlite3.connect(":memory:")
db.row_factory = sqlite3.Row
db.executescript("""
CREATE TABLE orders (id TEXT, fulfillment TEXT, requested_at TEXT,
buyer_email TEXT, buyer_phone TEXT, to_name TEXT, to_phone TEXT, to_email TEXT);
INSERT INTO orders VALUES
('A-001', 'openlogi', '2026-04-07T23:50:00+09:00', 'a@example.jp', '090-1111-0001', '山田 太郎', '090-1111-0001', 'a@example.jp'),
('A-002', 'openlogi', '2026-04-08T09:15:00+09:00', 'b@example.jp', '090-1111-0002', '佐藤 花子', '09011110002', 'b@example.jp'),
('A-003', 'openlogi', '2026-06-20T14:00:00+09:00', 'b@example.jp', '090-1111-0002', '佐藤 花子', '090-1111-0002', 'b@example.jp'),
('A-004', 'openlogi', '2026-09-01T10:30:00+09:00', 'c@example.jp', '090-1111-0003', '鈴木 一郎', '03-0000-0004', NULL),
('A-005', 'self', '2026-10-10T11:00:00+09:00', 'd@example.jp', '090-1111-0005', '高橋 次郎', '090-1111-0005', 'd@example.jp'),
('A-006', 'openlogi', '2026-11-08T23:40:00+09:00', 'e@example.jp', '090-1111-0006', '伊藤 三郎', '090-1111-0006', NULL),
('A-007', 'openlogi', '2026-11-09T00:05:00+09:00', 'f@example.jp', '090-1111-0007', '渡辺 四郎', '090-1111-0007', 'f@example.jp');
""")
# 公表された対象期間（出荷依頼日・日本時間・両端を含む）
FROM, TO = "2026-04-08", "2026-11-08"
rows = db.execute(
"SELECT * FROM orders WHERE fulfillment = 'openlogi'"
" AND substr(requested_at, 1, 10) BETWEEN ? AND ? ORDER BY requested_at",
(FROM, TO),
).fetchall()
def digits(s):
return re.sub(r"\D", "", s or "")
people = {} # 届け先（氏名＋電話番号の数字）ごとに1行へまとめる
for r in rows:
key = (r["to_name"], digits(r["to_phone"]))
p = people.setdefault(key, {"orders": [], "row": r})
p["orders"].append(r["id"])
out = csv.writer(sys.stdout, lineterminator="\n")
out.writerow(["to_name", "orders", "channel", "address_to"])
for (name, phone), p in people.items():
r = p["row"]
if r["to_email"]:
channel, to = "email", r["to_email"]
elif digits(r["buyer_phone"]) == phone:
channel, to = "email(注文者)", r["buyer_email"] # 自分あての注文は注文者のメールで届く
else:
channel, to = "郵送または公表+窓口", "(届け先の連絡先なし)" # 贈り物の届け先
out.writerow([name, "|".join(p["orders"]), channel, to])
print(f"# 対象注文 {len(rows)}件 / 通知先 {len(people)}名", file=sys.stderr)時刻は日本時間（+09:00付き）で持っている前提で、先頭10文字の日付を比べています。UTCで保存しているなら、比較の前には日本時間への変換が必要です。電話番号はハイフンの有無で別人扱いにならないよう、数字だけにしてから照合しています。
実行結果から読む4件の抽出と、贈り物の届け先に連絡先が無い場合の扱い
Python 3.14.10（Windows）で2026年11月11日に、python -X utf8 notify_list.pyとして実行した結果です。オープンロジのデータ形式を再現したものではありません。
# 対象注文 4件 / 通知先 3名
to_name,orders,channel,address_to
佐藤 花子,A-002|A-003,email,b@example.jp
鈴木 一郎,A-004,郵送または公表+窓口,(届け先の連絡先なし)
伊藤 三郎,A-006,email(注文者),e@example.jpA-001は4月7日23時50分の依頼で期間外、A-007は11月9日0時5分の依頼で期間外です。A-005は自社発送なので対象になりません。佐藤さんの2件は電話番号の書き方が違っても1名にまとまり、通知は1通で済みます。伊藤さんは届け先のメールが無いものの、注文者と同じ電話番号なので注文者のメールで知らせます。
鈴木さんは、別の人が注文した贈り物の届け先です。ショップは鈴木さんのメールも電話番号の本人確認も持っていません。個人情報保護法ガイドライン（通則編）の3-5-4-5は、保有するデータに本人の連絡先が無い場合を通知が困難な例に挙げ、代わりに事案の公表や問い合わせ窓口の設置を認めています。住所あての郵送ができるなら郵送し、できない分は告知と窓口で受けます。注文者にだけ知らせて終わりにするのは、届け先本人への通知になりません。
荷主の報告と通知：委託先から連絡を受けた日が起点になる速報3〜5日と確報60日の期限
ガイドライン3-5-3-5「遅くとも通知を受けた時点で知った」と期限の数え方
ガイドラインの3-5-3-2は、取扱いを委託している場合、報告対象の事態では原則として委託元と委託先の双方が報告の義務を負い、連名でもよいとしています。委託先が委託元に通知したときは、委託先の報告義務は免除されます（3-5-3-5）。その場合、委託元は通常、遅くとも委託先から通知を受けた時点で事態を知ったことになります。
速報の目安は知った時点から概ね3〜5日以内です。不正アクセスのように不正の目的による漏えいは、確報の期限が30日ではなく60日以内で、土日・祝日も数えます。件数の多少は関係ありません。マイネットのように25件でも報告の対象です。報告の様式と本人通知の流れは個人情報保護委員会への報告義務の実務に、委員会側の窓口は漏えい等の対応とお役立ち資料にまとまっています。
件数が出ないうちに速報を出し、確報で追完する分担と委託先に求める資料
オープンロジが示している範囲と件数の状況は、いずれも調査中です。荷主は委託先の確定を待たずに、自社が預けた分の上限の件数（対象期間に依頼した出荷の数）で速報を出し、確報で絞り込みます。ガイドラインも、確報の時点で分からない事項は把握した範囲で報告し、判明次第追完するとしています。
委託先に求める資料は、自社分のどの出荷が持ち出されたかの一覧、持ち出しが起きた期間と経路、再発防止策の3つです。これがあれば、自社の抽出結果と突き合わせて通知漏れと重複を消せます。委託先を選ぶときと契約で決めておく報告の取り決めは、委託先管理と個人情報保護法25条の監督義務で整理しました。
事業者の判断：物流委託先を使い続ける条件と自社の連携・管理画面を診断する範囲
渡す項目の棚卸し、メールアドレスと注文者情報を物流側に送るかの見直し
ガイドラインの3-4-4は、委託先の監督について「委託する業務内容に対して必要のない個人データを提供しないようにすることは当然」と書いています。今回持ち出された項目には、届け先のメールアドレスが入っていました。発送の通知を物流側から送らないのであれば、メールアドレスを渡す必要はありません。
物流の側が破られた事案は、この秋に続いています。運送会社そのものが侵害された例は佐川急便の情報漏洩と出荷人の対応、配送マッチングの委託先から注文メモや料金明細まで取得された例はピックゴー不正アクセスと7NOW・出前館の対象確認にまとめました。委託先ごとに預けている項目と保有期間を台帳にして突き合わせるコードは、NTTデータ委託先の情報漏洩と漏えい項目で扱っています。
使い続けてよい条件と、自社の連携アカウント・APIキーを点検する範囲
オープンロジを使い続けるかは、原因と侵入経路の調査結果、再発防止策、自社分の持ち出し一覧の3点を受け取れるかで決めます。入出荷は通常どおり動いているので、発送を止めて委託先を移す判断を急ぐ必要はありません。結果の報告が出ないまま年末の繁忙期に入るなら、2社目の委託先を並行で用意します。
自社側では、オープンロジの管理画面に入れるアカウントの棚卸しと、連携ツールに渡しているAPIキーの再発行を今週中に済ませます。全ユーザーのログイン状態がリセットされた今は、退職者や外注先のアカウントを消すよい機会です。キーの失効と再発行の手順はAPI不正アクセス対策の実装手順、同時期に委託先のSaaSが破られた例はアララの不正アクセスと契約企業のAPIキー再設定にあります。
自社のECサイトと物流・決済などの外部サービスとの連携に、権限の広すぎるアカウントや失効していないキーが残っていないかを第三者に確かめてもらいたい場合は、脆弱性診断・セキュリティ診断で相談できます。
よくある質問
オープンロジの不正アクセスについて、届け先になった人と、保管・発送を委託している荷主から出やすい質問をまとめました。
オープンロジの不正アクセスで対象になるのは、いつ出荷された荷物ですか？
2026年4月8日から11月8日までに、荷主がオープンロジに出荷を依頼した分です。依頼日で区切られているため、11月8日に依頼されて9日以降に届いた荷物も含まれます。届け先の氏名・住所・電話番号・メールアドレス（登録されている場合）と、商品名・数量などの商品情報が持ち出されました。範囲と件数は11月11日時点で調査中です。
クレジットカード情報やショップのパスワードは漏れましたか？
オープンロジはクレジットカード番号を保有していないため、対象外としています。Palette Projectも、カード情報とOFFICIAL STOREのログインパスワードはオープンロジが保有しておらず流出していないと告知しました。ただし商品名まで知られているので、注文内容を書いた偽の配送通知や返金の連絡には応じないようにします。
自分が対象かどうか、どこに問い合わせればよいですか？
まず商品を買ったショップの告知とお知らせメールを確かめます。オープンロジ自身の窓口はメール（cs@openlogi.com）で、24時間受け付け、回答は平日8時30分から17時に順次です。HUMAN MADE、SKIYAKI（Bitfan）、Palette Projectはそれぞれ自社の窓口を告知に載せています。電話番号の窓口は公表文にありません。
オープンロジの倉庫からの出荷は止まっていますか？
止まっていません。緊急メンテナンスに伴う一部のシステム操作への影響を除き、倉庫での入荷・出荷は通常どおりと公表しています。HUMAN MADEの開示によると、オープンロジは11月9日に攻撃元の遮断、日本国外からのアクセス制限、全ユーザーのログイン状態のリセットを行い、以降の新たな不正アクセスは確認されていません。
オープンロジの不正アクセスの原因は何ですか？
11月11日時点で、原因と侵入経路は公表されていません。オープンロジは外部のセキュリティ専門機関と連携して原因・侵入経路・影響範囲を調べており、個人情報保護委員会への報告と警察への相談を進めるとしています。調査結果を踏まえ、アクセス管理や監視体制を見直して再発防止策を実施する予定です。
関連記事
- 佐川急便の情報漏洩｜不正アクセス最大約5,323万件と7月の件との違い、追跡再開と出荷人の対応：物流の委託先が破られたときの出荷人側の対応
- ピックゴー不正アクセス：0120-711-099は本物か、7NOW約16.9万件・出前館・日本郵便など4社の対象確認：配送委託先経由で複数の委託元が公表した同時期の事案
- 個人情報保護委員会への報告義務｜対象4類型・速報3〜5日と確報30日の実務：委託元が出す速報と確報の書き方
- 委託先管理とは？個人情報保護法25条の監督義務とチェックリスト・契約条項の実務：物流委託先との契約で決めておく報告の取り決め
- API不正アクセス対策の実装手順：JPCERT注意喚起に沿うレート制限・認可・トークン失効とアプリ解析・SSRF対策：連携のAPIキーを失効・再発行する手順
