ANAグループOCSで個人情報流出、氏名と海外住所が対象

海外で暮らす日本人が、日本の食品や日用品を取り寄せるために使っていた通販サイトが、7月23日から止まったままです。ANAグループの株式会社OCSが運営する「OCS FAMILY LINK SERVICE」。原因は外部からのサイバー攻撃です。

そして個人情報の流出は、すでに確定しています。同社は7月28日の第3報で「お客様の個人情報が流出したことが判明しました」と書き、漏れた項目を具体的に挙げています。当初の「流出した可能性がある」から、表現が一段進みました。

漏れたのは氏名、海外のお届け先住所、メールアドレス、電話番号とFAX番号、サイト会員番号です。法人で使っていた場合は、会社名や管理者の氏名、担当部署の所在地なども含まれます。クレジットカードなどの金融情報は含まれていないと同社は明記しています。

一方で、まだ分からないことも残っています。何人分が漏れたのか、どこから入られたのか、いつ再開するのか。この3つは今も公表されていません。当サイトが2026年8月7日に確認したところ、サイトは今も応答しません。停止から16日目です。

漏れたのは、この項目です

7月28日の第3報に書かれた内容を、そのまま整理します。個人で使っていた人と、法人で使っていた人とで、対象が分かれています。

第3報の原文には、こう書かれています。

法人管理者のパスワードについても、「暗号化されており解読・復元は不可能」と書かれています。この2点は、利用者にとって数少ない安心材料です。カードの不正利用と、そのパスワードをそのまま使われる形の被害は、現時点では想定しなくてよいことになります。

ただし、氏名と海外の住所とメールアドレスが揃って出ているという点は軽くありません。この組み合わせは、その人が「海外に住んでいる日本人で、日本から物を取り寄せている」ことまで示します。狙いを絞った偽メールを作るには、十分な材料です。後述の対処が重要になるのは、そのためです。

何が起きたのか、日を追って

注目すべきは7月24日です。同社はこの日、外部への公表と個人情報保護委員会への報告を同時に済ませています。個人情報の漏えいが起きたとき、企業は同委員会へ速やかに報告する義務があります。停止の翌日に報告しているのは、手続きとしては速い部類です。

そして7月28日、停止から5日で流出の確定と項目の公表に至りました。「調査中」のまま何週間も止まる事案が珍しくないなかで、この速さは評価していい部分です。問題はその後で、8月7日まで10日間、続報が出ていません。

それでも公表されていない3つのこと

攻撃の種類について、ひとつ書いておきます。OCSは「ランサムウェア」という言葉を一度も使っていません。否定もしていませんが、肯定もしていません。当サイトでは身代金要求型の攻撃者が公開している被害組織の一覧も確認しましたが、OCSやANAの名前は見当たりませんでした（2026年7月分と8月分）。現時点で攻撃の種類を断定できる材料はありません。「ランサムウェアだった」と書いている情報を見かけても、根拠を確かめてください。

このサービスが止まると、誰が困るのか

OCS FAMILY LINK SERVICEは、海外に住む日本人向けの通販です。日本の食品、調味料、日用品、雑誌などを注文すると、住んでいる国まで届きます。運営するOCSはANAグループの国際輸送会社で、このサービスはANAマイレージクラブの提携サービスとしても案内されています。

駐在員とその家族、留学生、海外で長く暮らしている人。現地のスーパーでは手に入らないものを、ここで頼っていた人たちです。子どもの離乳食、常備薬に近い扱いの健康食品、特定の調味料。代わりが利かない品を、月単位の計画で注文している利用者が少なくありません。

16日間、注文できていません。国内のサービス障害なら「別の店で買えばいい」で済む場面が多いのですが、海外在住者にとって代替の手段は限られます。日本から個人で送るには送料も手続きもかかり、現地で同じ品が手に入るとも限りません。

注文済みの荷物については、第3報に方針が書かれました。7月23日までに受け付けた注文は、安全性を十分に確認したうえで順次出荷・発送を進めるとのことです。止まったまま消えるわけではない、という点は明確になりました。

利用していた人が、いま取れる手

流出した項目が分かったことで、対処もはっきりしました。優先順に挙げます。

1. 個別連絡が来ていないか確認する。 同社は7月28日から、対象となる顧客へ順次連絡を始めています。登録していたメールアドレスの受信箱と、迷惑メールフォルダの両方を見てください。海外の通信環境では、日本発のメールが迷惑メール扱いになることがあります。

2. OCSを名乗るメールのリンクを、すぐに踏まない。 これが今回いちばん大事です。氏名とメールアドレスと海外住所が、まとめて攻撃者の手にあります。「あなたの情報が流出しました」「補償のお手続き」「本人確認のお願い」といった件名で、本物そっくりの偽メールが届く条件が揃っています。本物の連絡かどうかは、OCSのサイトを自分でたどって確かめてください。メール内のリンクからではなく、です。

3. このサイトで使っていたパスワードを、他で使い回していないか確認する。 個人利用のパスワードは流出項目に挙がっていません。ただし使い回していた場合は、他のサービス側で変えておくほうが安全です。法人管理者のパスワードは暗号化されていたと説明されていますが、こちらも変更しておいて損はありません。

4. クレジットカードの明細は、念のため見ておく。 カード情報は流出していないと明記されています。ですので、カードを止める必要はありません。それでも数か月は明細に目を通しておくと安心です。

5. 注文や返金の問い合わせ先。 サイトが応答しないため、窓口は公表されているメールアドレスだけです。報道関係者向けとして gaffairs@ocs.co.jp（業務企画部 広報担当）が案内されています。

流出が確定したのに、ほとんど報じられていません

この件には、もうひとつ書いておくべきことがあります。第3報の内容が、ほとんど伝わっていないことです。

7月28日に流出が確定し、項目まで公表されました。にもかかわらず、当サイトが確認した範囲では、その第3報の中身を報じた記事が見当たりません。Security NEXTが7月28日に報じていますが、内容は第2報の段階のものです。ScanNetSecurityは8月5日に扱っていますが、こちらも項目の公表には触れていません。

ANAグループとしてのプレスリリースも出ていません。ANAグループのニュースリリースを確認しましたが、本件に関する発表は見当たりませんでした。告知はOCSの自社サイトに掲出されているだけです。

つまり、自分の情報が漏れたことを知る手段が、届いた個別連絡か、OCSのサイトを自分で見に行くことしかありません。海外在住者が対象で、時差もあり、日本のニュースを日常的に追っていない人も多い。この条件で「サイトを見に来てください」という形の告知だけに頼るのは、届き方として弱いと言わざるを得ません。

同じ形の事案は続いています。当サイトでは佐川急便で約7万人分の情報が漏れ、通知メールに別人の名前が出た件や、ニチレイへの不正アクセスがケンタッキー全店の品切れにつながった件を扱いました。不正アクセスの後、システムを切り離した結果どこまでが生き残るのかも整理しています。

なぜ16日も戻らないのか

運営する側の事情から見ると、この長さ自体は珍しくありません。理由は3つあります。

ひとつめ。侵入経路が特定できるまで、元に戻せません。同じ穴が開いたまま再開すれば、また入られます。サーバーを作り直しても、入口が塞がっていなければ意味がありません。この調査には外部の専門会社が入るのが通例で、それだけで数週間かかります。第3報が「原因究明は引き続き調査中」と書いているのは、まさにこの段階にいるということです。

ふたつめ。件数の確定には、記録の突き合わせが要ります。項目が先に出て件数が後になるのは、順序として自然です。どのテーブルのどの列が持ち出されたかは比較的早く分かりますが、「何件分が実際に外へ出たか」は通信の記録を追わないと確定しません。記録が十分に残っていなければ、そこで止まります。

みっつめ。公表の言葉は、確定した分しか書けません。少なく見積もって発表し、後から増える形は信頼を大きく損ないます。慎重になるほど、発表は遅く、短くなります。

ただし、利用者の側から見れば、その事情は待つ理由になりません。16日のあいだ注文はできず、再開の見通しも示されていません。「調査中」という一言で埋められる空白には、限度があります。

まとめ

ANAグループの株式会社OCSが運営する海外在住者向け通販「OCS FAMILY LINK SERVICE」が、外部からのサイバー攻撃を受けて2026年7月23日から停止しています。8月7日で16日目、サイトは今も応答しません。

個人情報の流出は7月28日の第3報で確定しました。漏れたのは氏名、海外のお届け先住所、メールアドレス、電話番号とFAX番号、サイト会員番号。法人利用では会社名や管理者の情報も含まれます。クレジットカードなどの金融情報は含まれず、法人管理者のパスワードは暗号化されていたと同社は明記しています。

残る空白は3つ。件数、侵入経路、再開の見通しです。個人情報保護委員会への報告は7月24日に済んでおり、対象者への個別連絡も7月28日から始まっています。手続きの面では、この種の事案としては速く動いているほうです。

利用していた方に必要な行動は、個別連絡が届いていないかを迷惑メールごと確認すること、そしてOCSを名乗るメールのリンクを踏まないことの2つです。氏名と海外住所とメールアドレスが揃って出ている以上、それらを使った偽の連絡が来る条件は整っています。カードを止める必要はありません。

よくある質問

自分の情報が漏れたかどうか、確かめる方法はありますか

同社が7月28日から対象者へ順次個別連絡を行っています。まずは登録していたメールアドレスの受信箱と迷惑メールフォルダを確認してください。ただし件数が公表されていないため、連絡が来ていないから対象外だとは言い切れません。このサービスを使っていたなら、後述の対処は済ませておくほうが安全です。

クレジットカードを止めたほうがいいですか

その必要はありません。第3報は「今回漏えいした情報にはクレジットカード等の金融情報は含まれていません」と明記しています。念のため数か月は明細を確認しておくと安心ですが、カードの再発行を急ぐ状況ではありません。

パスワードは変えたほうがいいですか

個人利用のパスワードは流出項目に挙がっていません。ただし同じパスワードを他のサービスでも使い回している場合は、そちらを変更してください。法人管理者のパスワードは暗号化されており解読・復元は不可能と説明されていますが、変更しておいて損はありません。

注文していた荷物はどうなりますか

第3報に方針が示されました。7月23日までに受け付けた注文は、安全性を十分に確認したうえで順次出荷・発送を進めるとのことです。個別の状況は、公表されている問い合わせ先へ連絡して確認してください。

ランサムウェアだったのですか

分かりません。OCSは「外部からの第三者による不正アクセス（サイバー攻撃）」としか書いておらず、攻撃の種類は公表していません。身代金要求型の攻撃者が公開している被害組織の一覧にも、2026年7月分・8月分ともOCSやANAの名前は見当たりませんでした。断定できる材料はない、というのが現時点の答えです。

ANA本体やマイレージのアカウントも危ないのですか

今回公表された流出項目に、ANAマイレージクラブの会員情報は含まれていません。対象はOCS FAMILY LINK SERVICEに登録された情報です。ANAグループとしてのプレスリリースも出ていません。ただしOCSで使っていたパスワードをANAのアカウントでも使い回している場合は、変更してください。

なぜ第1報は「システム不具合」という見出しだったのですか

7月23日の停止時点では、原因がまだ特定されていなかったためとみられます。翌24日の第2報で外部からのサイバー攻撃と公表され、28日の第3報で流出が確定しました。見出しの表現は第1報の「システム不具合」のまま引き継がれていますが、中身は更新されています。

参照元

• ▸株式会社OCS「システム不具合に伴うサービス一時停止について（第3報）」（2026年7月28日・流出項目の公表）
• ▸株式会社OCS「同（第2報）」（2026年7月24日・サイバー攻撃と公表）
• ▸株式会社OCS「同（第1報）」（2026年7月23日・サービス停止）
• ▸株式会社OCS 重要なお知らせ一覧（2026年8月7日に第4報の有無を確認）
• ▸Security NEXT「OCSの海外向け通販サイトに不正アクセス」（2026年7月28日）
• ▸ScanNetSecurity（2026年8月5日）
• ▸ANAグループ ニュースリリース（2026年8月7日に本件の発表がないことを確認）
• ▸ANAマイレージクラブ 提携サービス案内