ガンダムベース会員34万6247件、漏れたのはメールアドレスと識別子

発表は10月27日21時、バンダイナムコIDのポータルサイトに「ユミルリンク株式会社で発生した不正アクセスに伴うメールアドレス等の漏えいに関するお詫びとお知らせ」として掲載された。発表者はバンダイナムコエンターテインメントと、THE GUNDAM BASE MEMBERSを運営するBANDAI SPIRITSの2社となる。

経緯はこうだ。THE GUNDAM BASE MEMBERSは会員へのメール送信に「バンダイナムコID」のメールサービスを使っており、その配信業務をユミルリンク株式会社に委託していた。10月26日、ユミルリンクから両社へ、THE GUNDAM BASE MEMBERSの利用環境に不正アクセスがあり、メールアドレスなどを取得された形跡があると報告が入った。

漏えいしたのはメールアドレスと、バンダイナムコIDを管理するための内部識別子で、件数は34万6247件。両社はTHE GUNDAM BASE MEMBERSのメール配信サービスの使用を直ちに止め、27日に個人情報保護委員会へ報告した。発表時点で、この件による二次被害は確認されていない。

バンダイナムコIDそのものと、THE GUNDAM BASE MEMBERSのサービスは引き続き使える。

「THE GUNDAM BASE MEMBERS」はどんな会員サービスか

ガンダムベースは、BANDAI SPIRITSが展開するガンプラ（ガンダムのプラモデル）の公式施設だ。THE GUNDAM BASE MEMBERSはその会員サービスで、会員はガンプラポイントをためられる。

BANDAI SPIRITSが店舗の開業にあわせて出した発表では、税込200円の購入ごとにガンプラポイントが1ポイントつき、集めたポイントは景品と交換できる（景品交換を行わない店舗もある）。登録料と年会費はかからない。対象はガンダムベース東京や福岡、アネックス新千歳空港、各地のガンダムベースサテライトなどの店舗と、プレミアムバンダイ内のTHE GUNDAM BASE ONLINE SHOPなどになる。

登録はTHE GUNDAM BASE OFFICIAL SITEで受け付けており、利用にはバンダイナムコIDの登録が要る。ガンプラ好きが店頭やオンラインでの買い物にあわせて使う、身近な会員サービスだ。

漏えいした情報と対象外の情報

両社の発表をもとに、漏えいの範囲を整理する。

区分	情報の中身
漏えいした情報	メールアドレス、バンダイナムコID管理用の内部識別子
対象外の情報	氏名、住所、購入履歴などの登録情報
対象外の情報	ログインパスワード、クレジットカード情報

名前や住所、何を買ったかといった情報は、漏えいの対象に入っていない。ログインパスワードとカード情報も対象外で、両社は発表の中でパスワードの変更を呼びかけていない。

ただ、メールアドレスが外に出た以上、そこへ偽のメールが届くおそれは残る。両社が会員に求めているのも、届くメールへの注意だった。

会員が気をつけたいこと　本件のメールにURLは入らない

自分が対象かどうかについて、両社は対象者へ改めて連絡する予定だとしている。退会済みなどで個別に連絡できない人には、今回の公表と、必要に応じて出す続報で連絡に代える。

見分ける手がかりとして大きいのは、両社がこの件で送るメール本文にURLを載せないと明言している点だ。「お詫び」や「確認のお願い」をうたってリンクを踏ませようとするメールが届いても、本文のURLは開かないほうがいい。

両社が会員に呼びかけている内容は次のとおり。

• 「なりすまし」やフィッシング詐欺などの迷惑メールに注意する
• 疑わしいメールに書かれたURLにアクセスしない
• 疑わしいメールの案内に従って情報を入力しない

フィッシング詐欺は、本物そっくりの偽サイトへ誘導し、IDやパスワード、カード番号を入力させる手口だ。漏れたのがメールアドレスだけでも、偽メールのリンク先で自分から入力してしまえば、今回は対象外だった情報まで盗まれるおそれがある。

問い合わせは、バンダイナムコIDのサポートサイトの問い合わせフォームで、「ユミルリンク株式会社で発生した不正アクセスについて」を選んで送る形で受け付ける。受付時間は10時から18時まで。

発端はメール配信の委託先ユミルリンク

不正アクセスを受けたユミルリンクは、企業や自治体向けにメール配信サービス「Cuenote（キューノート）」を手がける。同社は10月16日朝、担当者が自分のアカウントの異常に気づいて調査を始め、19日に第一報を出した。26日の第二報では、メール配信の「Cuenote FC」49システムで情報が出力された痕跡を確認し、件数は延べ5162万8280件にのぼるとした。Cuenote BASEでも1システムで、契約者情報が閲覧できる状態になっていたという。

手口について同社は、プログラムの部品（ライブラリ）の脆弱性を突かれ、担当者のサービスへの認証情報を取られたと説明している。件数は「延べ件数」として示されており、実際に影響を受けた人数とは一致しない場合がある。

ガンダムベースの34万6247件は、ユミルリンクへの一連の不正アクセスで、委託元が公表した被害の一つだ。この件数が上の延べ件数に含まれるかどうかは示されていない。バンダイナムコエンターテインメントとBANDAI SPIRITSは、ユミルリンクに委託しているほかの利用環境への影響も含めて確認を続けている。ユミルリンクとともに原因の究明や影響範囲の調査を進め、再発防止を徹底するとしている。調査の結果しだいで、続報が出る可能性もある。

関連記事：ユミルリンクの情報漏えい、延べ5162万件超に拡大　セゾンカードを装う「cuenote.jp」の迷惑メールと、スマートEXなど公表した企業・自治体

※この記事は2026年10月28日時点の発表・報道をもとにしている。

[文/構成 by ライター 飯田タツヤ]