オープンロジ漏えい、自社が対象か確かめる手順と偽通知対策

オープンロジは2026年11月11日に、不正アクセスがあったと公表しました。2026年4月8日〜11月8日に依頼された出荷データのお届け先情報が、外部に持ち出されたという内容です。ただ、自社の注文が対象かどうかは、自社の出荷記録を見るまで決められません。

この記事は、発送をオープンロジに任せているネットショップの運営者やCS担当の方に向けたものです。「うちの注文は入っているのか」「購入者に何と伝えればいいのか」が分からず、作業を進められない場面を想定しています。

管理画面のどこを見れば対象の注文を絞り込めるかを順番にまとめました。購入者に届く偽の配送通知への答え方も、文面の例と一緒に載せています。

オープンロジが公表した内容と、まだ分かっていないこと

確定しているのは「期間」と「漏えいした項目」の2つです。

オープンロジ公式の告知ページによると、11月8日〜9日にシステムが不正アクセスを受けました。その結果、出荷データの一部が外部に持ち出されたと明記されています。対象は、2026年4月8日〜2026年11月8日にオープンロジへ依頼された出荷データです。

漏えいした項目は、お届け先の氏名・住所・電話番号・メールアドレス・商品情報です。メールアドレスは、登録されている場合だけ含まれます。

一方で、漏えいした件数について、公式は「調査中」としています（2026-11-13時点）。影響を受けた荷主（発送を委託しているお店）の一覧も公表されていません（2026-11-13時点）。侵入経路の詳しい中身は外部の専門機関と調べている最中で、こちらも発表待ちです（2026-11-13時点）。

こうした中、11月12日にかけて委託元のショップが次々と購入者へお知らせを出しました。スナップディッシュの第一報もその一つです。とはいえ、受け取った購入者も「自分の注文が入っているのか」までは分かりません。それに答えられるのは、出荷記録を持っているお店だけです。

最初に見るのは「依頼した期間」：対象期間に出荷が入っているか

全顧客を対象とみなして、その日のうちに一斉通知を出すのは避けたほうがいいです。公式が対象期間をはっきり示しているので、期間外の購入者にまで送ると問い合わせが無駄に増えます。そもそも対象でない人を不安にさせる理由はありません。

まずは、自社がオープンロジへ出荷を依頼していた期間を確かめます。見るのは、契約の開始日や利用を止めた日、倉庫への入庫や出荷を始めた日などの運用記録です。途中で別の倉庫に切り替えたお店は、その切り替え日も確認しておきましょう。

期間が1日でも重なっていたら、次の章の「出荷履歴」の確認に進みます。重ならなければ、「当店は対象期間にオープンロジを利用していません」という事実を社内で記録しておきます。購入者から問い合わせが来たら、その記録をもとに答えられます。

依頼していた期間を先に決めておくと、このあとCSVを出すときの検索範囲もそのまま決まります。手戻りが減ります。

「出荷履歴」と「出荷実績CSV」で対象の注文を特定する手順

対象の注文を決めるときに頼りにするのは、オープンロジの管理画面に残っている出荷の記録です。「この配送業者で送った分は関係ない」と、配送業者名だけで判断するのはやめましょう。オープンロジ経由で出荷した注文は、どの配送業者が届けたかに関係なく、対象期間内なら候補に入ります。

注意したいのは、「出荷依頼」は出したものの途中で取り消した注文です。こうした注文が混ざると、対象リストがふくらみます。そのため、最後に「請求情報」の課金記録と突き合わせて、実際に倉庫で処理された分だけを残します。CSVを出す前に「エクスポート履歴」も開いてみてください。過去にダウンロードしたファイルが残っていれば、照合にそのまま使えます。

👉 関連：Boxで共有リンクのダウンロード履歴を確認する方法

見る場所：管理画面の左メニュー「出荷」から「出荷履歴」を開く
検索条件：期間を2026-04-08〜2026-11-08にして検索する
出力：「出荷実績CSV」で書き出す。伝票番号・受注ID・お届け先（氏名・住所・電話番号・メールアドレス）・商品情報の列をそろえる。「エクスポート履歴」の過去分で足りない期間だけを出し直す
突合：「請求情報」の「ご利用明細」と伝票番号を突き合わせ、倉庫で処理された注文だけを残す
仕上げ：メールアドレスの列が空のレコードを別に分ける（連絡手段が電話や郵送に変わるため）

「アカウント設定」とAPIアクセストークンも点検しておく

「アカウント設定」で、管理者や利用ユーザーに見覚えのない人が入っていないか
管理者のパスワードを強制リセットする。使えるなら2要素認証（パスワードに加えて確認コードを入れる仕組み）も必須にする
使っていない共有アカウントを止める
OPENLOGI APIを使っているなら、API アクセストークンの利用ログと呼び出し履歴。API アクセストークンは、外部のシステムから接続するための鍵のこと

今回の不正アクセスは、オープンロジ側のシステムで起きたものです。とはいえ、お店のアカウントや連携用の鍵が使われていないかは、お店の側でしか確かめられません。受注システムとAPIでつないでいるお店ほど、ここは早めに見ておいたほうがいいです。

APIの履歴に、覚えのない時間帯のアクセスや見慣れない呼び出しがあれば、そのトークンを無効にして再発行します。OPENLOGI APIはアクセストークン方式なので、古いトークンを止めれば、その鍵ではもう接続できません。

点検のときに見たエクスポートの記録やログは、消さずに保存します。あとで購入者や取引先に説明するとき、「いつ、何を確かめたか」を示す材料に使えます。

購入者に届く偽の配送通知への対処と、CS対応の文面

たとえば、購入者からこんな問い合わせが来たとします。「オープンロジを名乗るSMSが届きました。『お届け先の確認が必要です』という文とURLが付いています。これは本物ですか？」

オープンロジ公式も、持ち出された情報が悪用されるおそれがあると呼びかけています。配送業者などを装ったメール・SMS・電話に使われるかもしれない、という注意です。名前や住所、買った商品まで合っていると、偽の通知でも本物に見えてしまいます。だからこそ、通知の中身で本物かどうかを見分けさせるより、確かめる手順を決めて伝えるほうが確実です。

購入者に伝える要点は3つです。

通知に付いているリンクは開かない
個人情報やカード情報は入力しない
気になるときは、お店の公式メールアドレスや電話番号など、正規の窓口で確かめる

CS側も、返信の中で住所や電話番号を書き出して本人確認をするのはやめましょう。返信メールが転送されたり、のぞき見されたりすると、そこからまた情報が広がります。

対象の購入者への個別通知の文面例

「いつも当店をご利用いただきありがとうございます。当店が発送を委託しているオープンロジ社で、不正アクセスがありました。2026年4月8日〜11月8日に依頼された出荷データのお届け先情報が、外部に持ち出されたと発表されています。持ち出された項目は、氏名・住所・電話番号・メールアドレス・商品情報です。お客様のご注文は、この期間の出荷に含まれています。配送業者やオープンロジを名乗る不審なメール・SMS・電話にご注意ください。届いた場合も、リンクは開かず、個人情報やカード情報は入力しないでください。当店からのご連絡は、〇〇（公式メールアドレス）と〇〇（電話番号）からだけ行います。」

あわせて、お店のFAQやトップページにオープンロジ公式の告知へのリンクを載せます。CS担当にも同じ文面を共有しておけば、担当者によって答えが変わることもありません。

オープンロジ公式窓口への問い合わせと記録の残し方

自社アカウントの出荷がどこまで対象に入るのか、オープンロジに調べてほしいときもあります。その場合は、公式窓口の cs@openlogi.com へ連絡します。アカウントコードなど自社を特定できる情報と、確かめたい期間を書き添えると、やり取りが早く進みます。

オープンロジから届いた回答や文書は、メールごと保存しておきます。むしろ、購入者に説明するときにいちばん頼りになるのはこの記録です。「委託先からこう回答を受けています」と言えれば、お店の説明にも根拠が付きます。

個人情報保護委員会（個人情報の扱いを見守る国の機関）への報告が必要かどうかは、社内で判断します。迷ったら、弁護士など専門家に相談したほうがいいです。

この記事は2026年11月13日時点の情報をもとにしています。件数や侵入経路は、今後追加で発表される見込みです。最新情報は公式X・告知ページで確認してください（2026-11-13時点）。

まとめ

結論：対象かどうかは、2026年4月8日〜11月8日の「出荷履歴」を見ないと確定しません。全顧客に一斉通知を出す前に、まず期間で絞り込みます
次にやること：「出荷実績CSV」で該当期間の注文を出力し、「請求情報」と突き合わせて対象の購入者リストを作ります。あわせて「アカウント設定」とAPI アクセストークンを点検します
覚えておくこと：漏えい件数と荷主一覧はまだ発表待ちです。偽の配送通知が届いたら、リンクを開かず、お店の正規窓口で確かめるよう購入者に伝えます

まずは「出荷履歴」で、2026年4月8日〜11月8日の出荷を検索しましょう。そのうえで「出荷実績CSV」を出力し、対象の購入者を確定させるところから始めます。