「ぶいすぽっ！」など11通販サイトで顧客情報流出の可能性：オープンロジへの不正アクセスで何が起きたのか

VTuberグッズや音楽関連グッズを扱う通販サイトを利用したことがある人は、今回の発表を確認しておきたい。株式会社Brave groupは2026年11月13日、物流や発送の業務を委託している株式会社オープンロジのシステムが第三者による不正アクセスを受け、グループの通販サービスに関する顧客情報の一部が外部に持ち出されたと発表した。対象となる可能性があるのは「ぶいすぽっ！オフィシャルオンラインストア」や「HIMEHINA MART」を含む11サイトで、配送先の氏名や住所、電話番号のほか、購入した商品の名前や数量まで含まれている。クレジットカード情報は対象外とされているが、連絡先と注文内容が結びついた情報が流れた可能性がある点は見逃せない。ここでは発表された事実を整理し、利用者が今確認すべきことをまとめる。

何が起きたのか：11月8日から9日の不正アクセス

オープンロジは2026年11月8日から9日にかけて、第三者による不正アクセスを受けた。預かっていた出荷データの一部が外部に持ち出されたことが確認されている。Brave groupへの連絡は11月10日で、同社は認証情報の再設定など被害の拡大を防ぐ対応を進めた。オープンロジは11月9日に把握している不正アクセスの経路を遮断し、その後の新たな不正アクセスは確認していないとしている。オープンロジ自体も11月11日に不正アクセスを公表している。

持ち出された可能性があるのは、2026年4月8日から11月8日までの出荷依頼データだ。対象となる人数や、サイトごとの被害件数は調査中で、11月13日の発表時点では公表されていない。11サイトすべてで個別に情報流出が確定したわけではなく、あくまで対象となる「可能性」があるサービスとして列挙されたものだ。Brave groupは個人情報保護委員会への報告を終えており、オープンロジは外部のセキュリティ専門機関と連携して侵入の原因や経路、影響範囲を調べている。

対象となる可能性がある11サイト

Brave groupが公式発表で挙げた11サイトは次の通りだ。いずれも購入者全員が漏えい対象になったことを示すものではないが、利用した覚えがあるサイトが含まれていないか確認しておきたい。

1. ぶいすぽっ！オフィシャルオンラインストア
2. ゆにれいど！ OFFICIAL STORE
3. YUMENOS OFFICIAL STORE
4. RIOT MUSIC OFFICIAL STORE
5. RIONECTION OFFICIAL STORE
6. AMICIS
7. Xross Stars Official Online Store
8. HIMEHINA MART
9. Neo-Porte official Shop
10. GΔ59 OFFICIAL ONLINE STORE
11. Brave group US Store

VTuberや音楽、アイドル関連のグッズを扱うサイトが中心で、購入した商品の名前や数量まで流出対象に含まれる。連絡先と特定のコンテンツ関連商品の注文内容が結びつくおそれがあるため、正規のショップや配送会社を装った連絡に使われるリスクが指摘されている。ただし、こうした悪用が実際に起きたと確認されたわけではない。

流出した可能性がある情報と対象外の情報

持ち出しが確認された出荷データには、配送先の氏名、住所、電話番号のほか、登録がある場合のメールアドレス、商品名や数量などが含まれる。氏名や住所といった連絡先情報と、何を何個買ったかという注文内容がセットで流れた可能性がある点が今回の特徴だ。

一方、対象外とされている情報もはっきりしている。オープンロジはクレジットカード番号を保有しておらず、カード情報は今回の漏えい対象に含まれない。また、今回の公表は物流委託先のシステムに関するもので、Brave groupが運営する11サイトの通販システム自体への不正アクセスや、会員のログインパスワードの流出を意味するものではない。ショップのアカウントのパスワードが直接漏れたわけではないが、同じパスワードを使い回している場合は別のリスクがあるため、後述する確認手順は押さえておきたい。

利用者が今すぐ確認すべきこと

11サイトのいずれかで買い物をしたことがある人は、まずショップや配送会社を名乗るメールやSMS、電話に注意したい。「配送先住所の確認」「追加送料のお支払い」「再配達の手続き」などを求める連絡が届いた場合、記載されたリンクや電話番号をそのまま信用してはいけない。購入先の公式サイトから問い合わせ先を確認し、公式の窓口に問い合わせるのが安全だ。相手が氏名や購入した商品名を言い当てたとしても、それだけで正規の連絡だとは判断できない。流出した情報には商品名も含まれているため、知っているはずのない情報を知っている相手が必ずしも正規とは限らない。

不審なサイトにパスワードを入力してしまった場合は、そのサービスのパスワードを変更し、同じパスワードを使い回している別のサービスでも変更しておきたい。クレジットカード情報を入力してしまった場合は、カード会社に相談し、不審な決済がないか確認する。なお、今回の情報流出だけを理由に、全員がカードの停止やパスワードの一斉変更をしなければならないわけではない。落ち着いて、自分の行動に合わせて判断すればよい。

オープンロジは本件について専用の窓口を設け、メールを24時間受け付けている。回答は平日の8時30分から17時の間に順次行われるとしている。気になる点がある人は、公式発表に記載された窓口から問い合わせるとよい。

委託先経由の流出は今週だけでも相次いでいる

今回の事案は、委託先のシステムが狙われたという点で今週のほかの発表と共通している。メール配信の委託先であるアララへの不正アクセスでは、11月12日までにキユーピーグループ5社の顧客メールアドレス約12万5,788件や、東京ガスのサービス利用者のメールアドレス約8万5,565件、KEYUCA会員のメールアドレス約121万4,183件の流出がそれぞれ公表された。千葉興業銀行や内閣府でも同様の発表が出ている。委託先が持つデータは量が多く、影響が複数の企業に広がりやすい。自分の情報がどの委託先に渡っているかを完全に把握するのは難しいが、公式発表が出たサービスを利用していた場合は、発表内容を確認する習慣が役に立つ。

委託先のシステムが狙われる構図

今回の事案は、自社のシステムではなく物流の委託先が狙われた点が特徴だ。通販サイトの運営会社は、注文の発送を外部の物流事業者に任せることが多い。その際、配送先の氏名や住所、商品名や数量といった出荷に必要なデータが委託先に渡される。委託先のシステムが不正アクセスを受けると、運営会社の会員データベースとは別に、出荷履歴と顧客情報が結びついた形で流れることになる。

通販サイトを運営する企業にとっては、委託するデータの項目や保管期間、管理者の権限、事故が起きたときの通知方法をあらためて確認する機会になる。利用者側から見ても、買い物をしたショップのシステムが安全でも、発送を担う委託先まで含めて情報が扱われていることを知っておく価値がある。11月13日の発表時点で本件による不正利用は確認されていないが、調査は続いている。対象人数やサイト別の被害件数が明らかになり次第、新しい情報が出てくるとみられる。

よくある質問

11サイトすべてで買い物をした人の情報が流出したのですか

いいえ、そうではない。Brave groupの発表は、対象となる「可能性」がある11サイトを列挙したもので、各サイトの購入者全員が漏えい対象になったことを示すものではない。対象人数やサイト別の被害件数は調査中で、11月13日の発表時点では公表されていない。

クレジットカード情報は流出しましたか

流出していないとされている。オープンロジはクレジットカード番号を保有しておらず、今回の漏えい対象には含まれない。会員のログインパスワードの流出も確認されていない。ただし、不審な連絡に応じてカード情報を入力してしまった場合は、カード会社に相談してほしい。

ショップを名乗る連絡が来たらどうすればよいですか

記載されたリンクや電話番号をそのまま使わず、購入先の公式サイトから問い合わせ先を確認してほしい。「追加送料」や「再配達」を求める連絡は、公式の窓口で真偽を確かめるのが安全だ。相手が氏名や購入商品を知っていても、正規の連絡だとは限らない。