一番くじONLINEの配送情報が漏洩した可能性｜バンダイロジパルへの不正アクセスで氏名・住所・電話番号 利用者が確かめること 2026

バンダイナムコの情報漏洩として報じられている件は、2026年10月28日時点の公式発表では次のとおりです。 株式会社バンダイナムコホールディングス、株式会社BANDAI SPIRITS、株式会社バンダイロジパルの3社は2026年10月26日、物流子会社であるバンダイロジパルが管理するシステムが第三者からの不正アクセスを受け、「一番くじONLINE」の配送情報（氏名・住所・電話番号）が漏洩した可能性があると発表しました。件数は調査中で、クレジットカード情報は含まれておらず、現時点で不正使用等は確認されていないとしています。 一番くじONLINEを使ったことがある人がまずすることは、心当たりのない電話や郵送物に応じないこと、届け先に登録した家族や知人にも伝えること、そして続報を公式の発表で確かめることの3つです。

この記事では、公式発表の言葉づかいに合わせて「漏洩した可能性」と書きます。 3社の発表は「漏洩した可能性があることを確認」「漏洩の疑いがある」という表現にとどまっており、漏洩が確定したとは書かれていません。 件数も2026年10月28日時点では公表されていません。 分かっていることと分かっていないことを分けて、利用者が次に何をすればよいかまでを整理します。

公表の経緯。10月21日の発覚から10月26日の第1報まで

発表文書は「株式会社バンダイロジパルへの不正アクセスについてのお知らせ（第1報）」という題で、2026年10月26日付で3社の連名で出されています。 第1報と付いているとおり、これが最初の発表です。2026年10月28日時点で、BANDAI SPIRITSの公式サイトに掲載されている本件の発表はこの第1報だけです。 発表文書に書かれている経緯を日付順に並べると次のようになります。

• 2026年10月21日（水）。バンダイロジパルが管理する物流システム内のサーバーに、不正アクセスの疑いのある痕跡を発見。直ちにそのサーバーをシャットダウンし、原因と影響範囲の調査に着手。同じ日に、同社のアカウントが不正に利用されて操作が行われたことを確認。緊急対策を実施し、攻撃手段の特定と対応を開始
• 2026年10月22日（木）。バンダイロジパルの社内に対策本部を設置し、物流システム全体を調査。その結果、BANDAI SPIRITSがバンダイロジパルに配送業務を委託している「一番くじONLINE」の配送情報が格納されるサーバーにも不正アクセスの疑いのある痕跡が確認され、登録されている客の情報の一部に漏洩の疑いがあることが判明
• 2026年10月23日（金）。調査を続け、不正な操作の可能性が及ぶ範囲を特定。システム全体の調査と対策が終わるまでシステムを停止することを決め、停止の作業に着手
• 2026年10月24日（土）。物流システムを停止
• 2026年10月26日（月）。警察と個人情報保護委員会に報告。漏洩が疑われる個人情報の対象者への注意喚起と、システム停止で影響が出る取引先への告知を実施

発覚から公表までは5日です。 その間に、サーバーの停止、対策本部の設置、影響範囲の特定、システム全体の停止という順で進んでいます。 発表文書は、出荷システムの安全性が確認されて利用を再開するとき、および件数などの新たに知らせるべき事実が判明したときに続報を出すと書いています。 したがって、次に公式から出てくる情報は「システムの再開」か「件数などの詳細」のどちらかになります。

発表文書そのものは、バンダイナムコグループのプレスリリース用のサーバーにPDFとして掲載されています。 報道記事や個人のまとめではなく、この文書を直接読むのが確実です。

調査を進めた結果、本不正アクセスに伴い、システム内の一部の個人情報が漏洩した可能性があることを確認しております。また、システム全体の点検と安全確認を行い、安全性が確認できるまで10月26日（月）よりロジパルにおける当該出荷システムを一時停止することといたしました。 出典: bandai-a.akamaihd.net

発表された内容を表で整理する

公式発表に書かれている内容を、「漏洩した可能性があると発表された項目」「含まれないと明記された項目」「まだ分かっていないこと」の3つに分けます。 利用者にとって大事なのは、この3つを混ぜないことです。

区分	内容
対象のサービス	「一番くじONLINE」の配送情報（BANDAI SPIRITSがバンダイロジパルに商品配送業務を委託しているもの）
漏洩した可能性があると発表された項目	氏名、住所、電話番号
含まれないと明記された項目	クレジットカード情報
不正使用の有無	現時点で不正使用等は確認されていない
件数	調査中。判明次第知らせると記載
対象期間や対象者の条件	発表に記載なし
不正アクセスを受けた場所	バンダイロジパルが管理する物流システム内のサーバー

注意してほしいのは、対象が「一番くじONLINEの配送情報」と限定されている点です。 一番くじONLINEの会員情報全体やログイン用のパスワードが対象だとは、発表には書かれていません。 反対に、パスワードやメールアドレスが「含まれない」とも書かれていないので、発表に無い項目については「書かれていない」としか言えません。 対象期間（いつからいつまでに注文した人か）も、2026年10月28日時点では公表されていません。

項目が氏名・住所・電話番号の3つである点は、利用者の備え方を決めるうえで重要です。 クレジットカード情報が含まれないため、カードの差し替えが必要になる段階ではありません。 一方で、氏名と住所と電話番号がそろうと、本人を名乗った電話や、実在の住所に届く郵送物を使った詐欺が成り立ちます。 3社が「お客様へのお願い」として挙げているのも、まさにこの点です。

一番くじONLINEと配送の仕組み。なぜ物流会社で起きたのか

一番くじONLINEは、BANDAI SPIRITSが運営する「一番くじ」のオンライン版です。 会員登録をしてサイト上でくじを引き、当たった商品が後日、登録した届け先に配送されます。 店頭の一番くじと違い、商品を受け取るために氏名・住所・電話番号を登録する必要があります。この登録情報が「配送情報」です。

商品の発送は、BANDAI SPIRITS自身ではなく、グループの物流会社であるバンダイロジパルが受け持っています。 発表文書では「BANDAI SPIRITSがロジパルに商品配送業務を委託している」と書かれています。 委託とは、自社の業務の一部を別の会社に任せることです。 荷物を送るには届け先の氏名・住所・電話番号が必要なので、配送を任された物流会社のシステムにはその情報が保管されます。 今回、不正アクセスを受けたのはこの物流会社側のシステムです。

発表が3社連名になっているのは、この構造によります。 バンダイナムコホールディングスはグループの持株会社、BANDAI SPIRITSは一番くじONLINEを運営する会社、バンダイロジパルは配送情報を保管するシステムを管理する会社です。 利用者から見ると「一番くじONLINEで登録した情報」ですが、情報が保管されていた場所は配送を担当する別会社のサーバーでした。

この点は、利用者がサイト側の表示だけを見て判断できない理由でもあります。 一番くじONLINEのサイトそのものが改ざんされたり、ログイン画面が狙われたりした事案ではありません。 2026年10月28日時点で一番くじONLINEのお知らせ一覧を開いても、掲載されているのはサイトのメンテナンスの案内で、本件の告知は見当たりません。 一番くじONLINEのサイトが通常どおり表示されるからといって、本件の影響がないとは言えない点に注意してください。

原因について公式が書いていること

原因に関して公式発表が書いているのは、次の範囲です。

• バンダイロジパルが管理する物流システム内のサーバーに対して、第三者からの不正アクセスがあった
• 同社のアカウントの不正利用による操作が行われたことを確認した
• 一番くじONLINEの配送情報が格納されるサーバーにも、不正アクセスの疑いのある痕跡が確認された

「同社アカウントの不正利用」とは、バンダイロジパルの正規のアカウント（システムにログインするための利用者の権限）が、本来の持ち主ではない第三者に使われたということです。 どのようにしてアカウントが使われたのか、攻撃の手段が何だったのかは、発表文書には書かれていません。 「攻撃手段の特定と対応を開始」とあるので、2026年10月28日時点では調査中と受け取るのが正確です。

この記事では、発表に書かれていない原因を推測して書きません。 不正アクセスの事案では、パスワードの推測、別の漏洩で出回った認証情報の使い回し、ソフトウェアの欠陥など、原因の候補はいくつもありますが、どれに当たるかは公式の続報で判明するまで分かりません。 利用者の側でできる備えは、原因が何であっても変わらないので、次の節以降で説明します。

3社の対応として発表されていること

発表文書に書かれている3社の対応は次のとおりです。発表に無いことは書いていません。

• 不正アクセスの疑いのある痕跡を発見したサーバーを、発見した日のうちにシャットダウン
• 2026年10月22日にバンダイロジパルの社内に対策本部を設置
• 2026年10月24日に物流システムを停止
• 2026年10月26日に警察と個人情報保護委員会へ報告
• 2026年10月26日に、漏洩が疑われる個人情報の対象者へ注意喚起
• 2026年10月26日に、システム停止で影響が生じる取引先へ告知
• 安全性が確認できるまで、2026年10月26日からバンダイロジパルの出荷システムを一時停止

対象者への注意喚起が10月26日に実施されたと書かれているので、対象と判断された人には何らかの連絡が届いているか、これから届くことになります。 ただし、連絡の形（メールなのか、郵送なのか、サイト上の表示なのか）は発表文書に書かれていません。 また、パスワードの初期化、補償、お詫びの品などについても、発表文書には記載がありません。 記載が無いものを「ある」とも「ない」とも断定しないでください。 続報で明らかになった時点で、公式の発表どおりに受け取るのが正確です。

出荷システムの停止で起きること

今回の発表で、個人情報の話と並んで大きいのが、出荷システムの一時停止です。 バンダイロジパルの出荷システムは、2026年10月26日から安全性が確認できるまで止まっています。 物流システム自体は10月24日の時点で停止しています。

利用者に直接関係するのは、一番くじONLINEで当たった商品の発送です。 配送業務を受け持つ物流会社のシステムが止まっているので、発送を待っている商品が予定どおりに届かない可能性があります。 発表文書には、出荷システムの安全性が確認されて利用を再開するときに続報を出すと書かれているので、発送がいつ再開されるかは、その続報で分かります。 2026年10月28日時点では、再開の時期は公表されていません。

発表は「お客様ならびにお取引先様」に向けて書かれており、取引先への告知も実施済みとされています。 バンダイロジパルが配送を受け持っているのは一番くじONLINEの商品だけとは限りませんが、個人情報の漏洩の可能性があると発表されているのは一番くじONLINEの配送情報だけです。 配送の遅れと個人情報の件は、同じ事案から起きた別の影響として分けて考えると整理しやすくなります。

商品が届かないときに「配送業者を名乗る連絡」が来たら、注意が要ります。 発送を待っている人ほど、荷物に関する連絡に応じやすくなります。 再配達の案内や、住所の再確認を求めるSMSや電話は、今回の事案を利用した偽の連絡である可能性を疑ってください。詳しくは後の節で説明します。

自分が対象かを確かめる方法

公式発表に書かれている確かめ方は、次の2つです。

1. 漏洩が疑われる個人情報の対象者には、3社から注意喚起の連絡が行われる（2026年10月26日に実施と記載）
2. 一番くじONLINEの会員は、公式の問い合わせフォームから問い合わせができる

対象者への注意喚起が実施されたと発表されているので、まず確認するのは、一番くじONLINEに登録したメールアドレスの受信箱と、登録した住所あての郵便物です。 迷惑メールの振り分けに入っている可能性もあるので、迷惑メールのフォルダも見てください。 連絡の形は発表に書かれていないため、メールとは限りません。

連絡が来ていない場合でも、対象外とは言い切れません。 件数が調査中なので、対象者の範囲も確定していないと考えるのが自然です。 過去に一番くじONLINEで商品を受け取ったことがあり、自分が対象かどうかを知りたい場合は、公式の問い合わせフォーム（一番くじONLINE会員様のお問い合わせ先）から問い合わせます。 フォームのURLは発表文書に明記されています。

確かめ方	内容
3社からの注意喚起	対象者に対して2026年10月26日に実施と発表。連絡の形は記載なし
問い合わせフォーム	一番くじONLINE会員向けの公式フォーム。発表文書にURLを記載
一番くじONLINEのマイページ	本件に関する表示があるとは発表に書かれていない
電話窓口	発表文書に記載なし

ここで大切なのは、問い合わせ先を発表文書から辿ることです。 検索結果の広告や、SNSで流れてくる「対象者確認フォーム」のようなリンクは使わないでください。 漏洩した可能性がある項目に氏名・住所・電話番号が含まれる以上、「あなたが対象か確認します」という名目で改めて個人情報を入力させる偽のページが作られる余地があります。 公式のフォームは一番くじONLINEのドメイン（on-line.1kuji.com）にあり、ブラウザーのアドレス欄でドメインを確かめてから使います。

氏名・住所・電話番号が漏れたときに起きうること

漏洩した可能性がある項目が氏名・住所・電話番号の3つであることから、起きうることを具体的に考えます。 3社が発表文書で注意を求めているのも「不審な電話や郵送物」です。

起きうること	使われる情報	見分けるポイント
一番くじONLINEやバンダイナムコを名乗る電話	氏名、電話番号	発表文書に電話での連絡は書かれていない。折り返しを求める電話は応じない
配送業者を名乗る再配達や住所確認のSMS	電話番号、住所	公式の再配達の案内は、荷物の伝票番号を自分で確かめられる。SMSのリンクから住所や支払い情報を入力しない
本名と住所の入った郵送物（当選、未払い、補償の案内）	氏名、住所	補償や手続きの案内は公式発表に無い。振込や個人情報の返送を求めるものは応じない
本名を呼びかける偽のメール	氏名	氏名が合っているだけでは本物の根拠にならない。送信元のドメインと、リンク先のドメインを見る

氏名と住所がそろった郵送物は、電話やメールより信用されやすい点に注意が要ります。 住所が合っていて本名で届く手紙は、それだけで本物らしく見えます。 しかし、今回の事案で漏洩した可能性があるのはまさにその2つなので、郵送物が本名で届くこと自体は、本物である証拠になりません。 公式発表に書かれていない「補償」「返金」「当選の繰り上げ」といった名目で、振込や個人情報の返送を求めるものは、公式の窓口に確かめるまで応じないでください。

住所が漏れたときに起きることと、防ぎ方の順番については、個人情報が流出して住所が漏れたときの対応｜起きることと防ぎ方の順番で、郵送物や訪問への対処までを順番に整理しています。本件のように氏名・住所・電話番号の組み合わせが対象になった場合に、何から手を付けるかの参考になります。

電話番号については、知らない番号からの着信に出ない、留守番電話で用件を確かめる、という基本の対応で十分なことが多いです。 スマートフォンには、知らない番号からの着信を自動で無音にする設定があります。 それでも出てしまった場合は、相手が名乗った社名や用件をその場で信じず、いったん切って、公式サイトに載っている窓口から確かめます。 電話を切ること自体に失礼はありません。本物の会社からの連絡であれば、公式の窓口に問い合わせれば確認できます。

利用者がいますること

漏洩した可能性がある項目に合わせて、やることを優先順に並べます。 クレジットカード情報は含まれないと明記されているので、カードの差し替えは現時点では不要です。 パスワードが対象だとも発表されていないので、パスワードの変更は「必須」ではなく「使い回しをしているなら見直す」という位置づけになります。

1. 心当たりのない電話、SMS、郵送物に応じない。公式発表が求めている唯一のお願いがこれです
2. 一番くじONLINEの届け先に、家族や知人の住所を登録したことがあるなら、その人にも伝える。対象になりうるのは注文者本人だけとは限りません
3. 一番くじONLINEのパスワードを他のサービスと使い回しているなら、使い回しをやめる。本件でパスワードが対象だとは発表されていませんが、氏名と電話番号が分かっている相手からの「パスワード再設定」をかたる偽メールが来たときの被害を小さくできます
4. 使っているサービスで二段階認証（ログイン時にパスワードに加えて、スマートフォンに届く確認コードなどを求める仕組み）が使えるなら有効にする
5. 続報は公式の発表で確かめる。SNSの投稿や報道の見出しだけで判断しない

2番目の「届け先」は見落としやすい点です。 一番くじONLINEの配送情報は、注文した本人の住所とは限りません。 プレゼントとして家族や友人の住所を届け先にした場合、漏洩した可能性がある配送情報にはその相手の氏名・住所・電話番号が含まれていることになります。 3社からの注意喚起は会員本人に届くはずなので、届け先として登録された相手には、会員から伝えるしかありません。

二段階認証の仕組みと、どのサービスでどう設定するかは、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で説明しています。パスワードが漏れた場合でも、確認コードが無ければログインできなくする仕組みなので、通販サイトや決済サービスから順に有効にしておくと、今回のような事案の後に来る偽の再設定メールへの備えになります。

自分のメールアドレスやパスワードが過去の漏洩で出回っていないかを調べる方法は、Have I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法と、大手クラウドの過去の漏洩で手順を説明しています。本件は氏名・住所・電話番号が対象でメールアドレスの件ではありませんが、使い回しの見直しをするついでに、自分のアドレスの状態を確かめておくと判断の材料になります。

「漏洩した」と言い切らない理由と、続報の追い方

この記事の題と本文で「漏洩した可能性」と書いているのは、公式発表がその表現を使っているからです。 発表文書の該当部分は、「一部の個人情報が漏洩した可能性があることを確認」「登録されているお客様情報の一部に漏洩の疑いがある」という書き方です。 不正アクセスの痕跡が見つかったことは確認されていますが、実際にデータが外部へ持ち出されたかどうかは、発表の時点では「可能性」「疑い」の段階です。

「漏洩した」と言い切る情報と、「可能性がある」と書かれた公式発表とでは、利用者がすることが変わります。 漏洩が確定していれば、通知の内容に従って具体的な対応を取る段階です。 可能性の段階では、偽の連絡に注意しつつ、続報を待つのが正確な対応になります。 慌てて不要な手続きをすることも、反対に「可能性だけなら何もしなくてよい」と放置することも、どちらも適切ではありません。

続報を追うときの順番は次のとおりです。

• 発表文書の続報は、第1報と同じく3社の連名で出る可能性が高い。BANDAI SPIRITSの公式サイトのトップページに第1報へのリンクが掲載されているので、同じ場所を見る
• 一番くじONLINEのお知らせ一覧も見る。2026年10月28日時点では本件の告知は掲載されていないが、出荷の再開に関する案内が出る場所として候補になる
• 件数が判明した場合は、公式の表現（「約」「最大」など）をそのまま受け取る。報道の数字と公式の数字が違うときは、公式を優先する

2026年10月28日時点で、本件について公式に確かめられる文書は第1報だけです。 件数、対象期間、連絡の形、再開の時期は、続報が出るまで分かりません。 「分からない」ことを分からないまま受け止めておくことが、偽の情報に振り回されないための前提になります。

同じグループの別の事案と混同しない

「バンダイナムコ 情報漏洩」で検索すると、本件以外の発表も出てきます。 2026年10月27日時点でBANDAI SPIRITSの公式サイトには、本件の第1報と並んで、「ビルダーズアリーナ」「ガンプラエキシビション」の運営に利用しているクラウドサービス「Studio」における不正アクセスに関するお知らせも掲載されています。 これは本件とは別の事案で、対象のサービスも経路も違います。 バンダイナムコグループは多くの会社とサービスを持っているため、グループ名で検索すると複数の事案が混ざって表示されます。

さらに2026年10月27日21時には、株式会社バンダイナムコエンターテインメントとBANDAI SPIRITSの連名で、「ユミルリンク株式会社で発生した不正アクセスに伴うメールアドレス等の漏えいに関するお詫びとお知らせ」がバンダイナムコIDのお知らせとして公表されました。 これも本件（一番くじONLINE、バンダイロジパル経由、漏洩の可能性、件数は調査中）とは別の事案です。 バンダイナムコエンターテインメントが運営する「バンダイナムコID」のメールサービスの委託先であるユミルリンク株式会社への不正アクセスにより、BANDAI SPIRITSが運営する「THE GUNDAM BASE MEMBERS」の利用者のメールアドレスが漏えいしたことが判明した、という内容です。 漏えいした個人情報は、「THE GUNDAM BASE MEMBERS」に登録された客のメールアドレスと、バンダイナムコID管理用の内部識別子で、件数は346,247件と公表されています。 氏名、住所、購入履歴等を含むそれ以外の情報、ログインパスワード、クレジットカード情報は漏えい対象に含まれていません。 経緯としては、10月26日にユミルリンク株式会社から報告を受け、不正アクセスを受けたメール配信サービスの使用を直ちに停止し、10月27日に個人情報保護委員会へ報告したとされています。 対象の客には改めて連絡するとされ、「バンダイナムコID」と「THE GUNDAM BASE MEMBERS」を使用したサービスは引き続き利用できます。 問い合わせはバンダイナムコエンターテインメントの問い合わせフォーム（受付時間10時から18時）で、フォームのURLは上の公式のお知らせに書かれています。

2つの事案の違いを並べると、次のようになります。

項目	本件	ガンダムベースの事案
対象のサービス	一番くじONLINE	THE GUNDAM BASE MEMBERS
不正アクセスを受けた場所	バンダイロジパルの物流システム	ユミルリンク株式会社（バンダイナムコIDのメールサービスの委託先）
対象の項目	氏名、住所、電話番号（漏洩した可能性）	メールアドレス、バンダイナムコID管理用の内部識別子（漏えいしたと公表）
件数	調査中	346,247件
発表日	2026年10月26日（第1報）	2026年10月27日21時

ガンダムベースの会員で、一番くじONLINEを使っていない人は本件の対象ではなく、ガンダムベースの発表のほうを見てください。 反対に、一番くじONLINEを使っていて、THE GUNDAM BASE MEMBERSには登録していない人は、ガンダムベースの事案の対象ではありません。 両方を使っている人は、2つの発表を別々に読み、それぞれの対象の項目に合わせて備えます。 本件は氏名・住所・電話番号、ガンダムベースの事案はメールアドレスが対象なので、前者は電話や郵送物、後者はメールアドレスを使った偽のメールへの警戒が中心になります。 なお、ユミルリンク株式会社への不正アクセスは、同社のメール配信サービスを使う他の多くの企業にも影響が及んでおり、ガンダムベースの事案はその1つです。

自分に関係があるかを判断するときは、「どのサービスを使っていたか」で切り分けてください。 本件の対象は一番くじONLINEの配送情報です。 一番くじONLINEを使ったことがない人は、本件の対象にはなりません。 反対に、一番くじONLINEを使ったことがある人は、他の事案の発表を読んでも本件の対象かどうかは分かりません。 発表文書ごとに、対象のサービスと対象の項目を確かめるのが確実です。

報道では「バンダイナムコ」や「一番くじ」といった見出しの語で括られますが、公式発表は「バンダイロジパルへの不正アクセス」が題で、対象は「一番くじONLINEの配送情報」です。 検索で見つけた記事がどの事案を指しているかは、発表日と対象のサービスで確かめてください。

在宅で仕事をする人が気をつけること

在宅で仕事をする人の中には、自宅の住所と電話番号を仕事の連絡先としても使っている人が多くいます。 その場合、本件で漏洩した可能性がある氏名・住所・電話番号は、取引先が知っている仕事の連絡先と同じものになります。 取引先を名乗る電話や、取引先の社名を使った郵送物が届く可能性を考えて、普段より一段慎重に扱ってください。 取引先からの入金先の変更、契約内容の変更、急ぎの振込を求める連絡は、これまでに使っていた連絡経路（取引先の担当者のメールアドレスや、社内のチャット）で本人に確かめてから応じます。

取引先に知らせる必要があるかどうかは、次の考え方で判断します。 本件で漏洩した可能性があるのは、一番くじONLINEに登録した自分自身の配送情報です。 取引先から預かった情報（取引先の顧客の名簿や、業務で受け取った個人データ）が本件で漏洩した可能性があるわけではありません。 したがって、一番くじONLINEを私用で使っていただけなら、取引先の情報が本件で影響を受けることはなく、取引先に報告する義務が生じる場面ではありません。

ただし、在宅で仕事をする人が自分の業務で個人情報を扱っている場合、別の観点で個人情報保護委員会のルールが関係します。 個人情報保護委員会の公式ページ「漏えい等の対応とお役立ち資料」によると、事業者が扱う個人データについて、不正の目的をもって行われたおそれがある行為による漏えい等（またはそのおそれ）が起きた場合など、一定の要件に当たるときは個人情報保護委員会への報告が義務付けられています。報告の期限は、発覚したらまず速やかに報告し、不正な目的で行われたおそれがある場合は発覚日から60日以内と同ページに書かれています。 これは本件の3社が10月26日に個人情報保護委員会へ報告したことと対応しています。 自分が取引先から預かった個人データを自分の端末やサービスで扱っていて、そこに不正アクセスがあったときは、この要件に当たるかを同ページで確かめる必要があります。 本件の一番くじONLINEの配送情報の話とは別の場面ですが、在宅で個人情報を扱う人は、このルールが自分にも関係することを知っておいてください。

仕事用の連絡先を私用の通販と分けておくことも、長い目で見ると効きます。 仕事の電話番号を私用の通販に登録しない、届け先を自宅ではなく営業所受け取りにできるサービスでは営業所を使う、といった工夫で、私用のサービスで漏洩が起きたときに仕事の連絡先まで影響が及ぶ範囲を小さくできます。 今回のように、サービスそのものではなく委託先の物流会社で事案が起きることもあるので、「信頼できるサイトだけを使う」という判断だけでは防ぎきれません。 登録する情報を減らすこと、仕事用と私用を分けることが、利用者の側でできる備えになります。

問い合わせ窓口

公式発表に載っている問い合わせ先は、次の1つです。

• 一番くじONLINE会員様のお問い合わせ先: 一番くじONLINEのサイト内にある問い合わせフォーム（発表文書にURLを記載）

電話番号と受付時間は、発表文書には載っていません。 電話での問い合わせ窓口が後から設けられる可能性はありますが、2026年10月28日時点では公表されていないので、「本件の専用ダイヤル」を名乗る電話番号を案内する連絡が来たら、それ自体を疑ってください。

問い合わせフォームを使うときは、発表文書に書かれたURLをそのまま入力するか、一番くじONLINEのサイトにログインして辿ってください。 メールやSMSで届いたリンクから開かないのは、本件に限らず、情報漏洩の事案の後に共通する基本です。 問い合わせの内容は、「自分が対象に含まれるか」「届け先として登録した相手の情報も含まれるか」「発送中の商品がいつ届くか」の3点に絞ると、回答を受け取りやすくなります。

会員の側でアカウントを守る習慣

本件はサービスの利用者の側に落ち度があって起きた事案ではありません。 利用者がどれだけ注意していても、委託先のシステムへの不正アクセスは防げません。 その前提で、事案が起きたあとの被害を小さくするために、利用者の側で持っておける習慣を整理します。

• サービスごとに違うパスワードを使う。パスワード管理アプリを使えば、覚える必要はありません
• 二段階認証が使えるサービスでは有効にする。通販、決済、メールの3つから優先します
• 通販サイトに登録する情報を最小限にする。電話番号の登録が任意なら登録しない、カード情報を保存しない
• 公式からの連絡かどうかを、送信元のドメインとリンク先のドメインで見分ける癖をつける。本名で呼ばれているかどうかは根拠になりません
• 情報漏洩の発表があったら、公式の発表文書を読み、対象のサービスと対象の項目を確かめる

偽のメールやSMSを見分ける具体的な方法は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで、実際の手口と見分け方を説明しています。企業の社員教育の記事ですが、個人が偽のメールを見分ける方法としてそのまま使えます。

在宅で仕事をする人にとって、アカウントの管理は仕事の信用に直結します。 取引先とのやり取りに使うメールやチャットのアカウントが乗っ取られると、取引先に偽の請求書が送られる、納品物が持ち出されるといった被害が自分だけで終わりません。 セキュリティを仕事にする人の働き方や求められる知識はAI・マーケティング・セキュリティのお仕事で整理されており、@SOHOでは、こうした分野で在宅の案件を探す人が、自分のアカウントの管理から始める前提で仕事を受けています。 本件のように自分では防げない事案が起きたときに、落ち着いて公式の発表を読み、やることを決められる状態にしておくことが、在宅で働く人の守りになります。

よくある質問

Q. 一番くじONLINEのクレジットカード情報は漏れましたか？

公式発表では、漏洩した可能性がある個人情報にクレジットカード情報は含まれておらず、現時点で不正使用等は確認されていないと明記されています。対象として発表されているのは配送情報（氏名・住所・電話番号）です。カードの差し替えが必要になる段階ではありませんが、続報は公式の発表で確かめてください。

Q. 一番くじONLINEのパスワードは変えたほうがよいですか？

公式発表ではパスワードが漏洩した可能性がある項目に挙げられていません。必須ではありませんが、他のサービスと同じパスワードを使い回している場合は、この機会に別のものに変えておくと、偽の再設定メールが来たときの被害を小さくできます。二段階認証が使えるサービスは有効にしてください。

Q. 自分が対象かどうかはどうすれば分かりますか？

公式発表には、漏洩が疑われる個人情報の対象者へ2026年10月26日に注意喚起を実施したと書かれています。連絡の形は記載がないため、登録したメールアドレスの受信箱（迷惑メールフォルダを含む）と郵便物を確かめてください。連絡がなく不安な場合は、一番くじONLINE会員向けの公式問い合わせフォームから問い合わせます。

Q. 当たった商品の発送はいつ再開されますか？

バンダイロジパルの出荷システムは、安全性が確認できるまで2026年10月26日から一時停止されています。再開の時期は2026年10月27日時点で公表されていません。公式発表は、システムの利用を再開する際に続報を出すとしているので、BANDAI SPIRITSの公式サイトと一番くじONLINEのお知らせ一覧を確かめてください。