7NOW利用者16万件超・出前館約800件が漏えい配達委託先「ピックゴー」に不正アクセス

要点

セブン‐イレブン・ジャパンと出前館は、2026年11月3日にそれぞれ発表を出した。どちらも配達の仕事の一部を、CBcloud株式会社に任せている。CBcloud は、荷物を運びたい人と配達する人をつなぐ配送プラットフォーム「ピックゴー」を運営している。

両社の発表によると、CBcloud の調査で11月1日に、ピックゴーが第三者に不正アクセスされたことが分かった。7NOW の利用者の情報も取られていたことは11月3日に分かり、CBcloud からセブン‐イレブンに連絡があった。

7NOW で漏れた可能性がある情報（セブン‐イレブン・ジャパンの発表）

出前館で漏れた可能性がある情報（出前館の発表）

両社とも、クレジットカード情報と ID・パスワードは漏れていないとしている。自社の認証の情報や連携の設定が流出したり書き換えられたりしたことも、確認されていないという。本件が原因の不正利用の被害も、今のところ確認されていない。

どの期間の注文が対象なのかは、どちらの発表にも書かれていない。

出前館は11月2日の14時過ぎに CBcloud との連携を止め、不具合の修正が終わったことを確かめて、同じ日の21時ごろに再開した。7NOW はふだんどおり動いている。

漏れたのは、7NOW と出前館で注文した人の届け先の情報である。

件数の大半（7NOW の約16万4千件）は氏名のカナだけで、これだけで誰かを特定するのは難しい。ただ、7NOW の約5千件と出前館のほぼ全件には住所が含まれる。一部には電話番号もある。住所と名前、それに「いつ・どの店で・何を頼んだか」がそろうと、本物らしく見える偽の連絡を作りやすくなる。

連絡のしかたは両社で違う。セブン‐イレブンは、対象の人に、登録した電話番号あてにショートメッセージ（SMS）で順に知らせる。出前館は、登録したメールアドレスあてに順に知らせる。

窓口

7NOW や出前館を使ったことがあるなら、両社の発表を公式サイトで直接開いて読む。届いた SMS やメールのリンクからではなく、自分でサイトやアプリを開く。
7NOW からは本物の SMS も届く予定だ。だからこそ、SMS の中のリンクでカード番号やパスワードを入れない。迷ったら、自分で調べた窓口の番号（上の 0120-711-099 など）にかけて確かめる。
出前館は、出前館や配送会社をかたる不審な電話・メール・SMS に気をつけるよう呼びかけている。身に覚えのない請求や、個人情報の入力・支払いを求める連絡には応じないこと、としている。
「配達できなかった」「再配達の手続きを」という SMS は、もともと詐欺でよく使われる手口だ。名前や住所が正しく書かれていても、本物の証拠にはならないと考える。
家族が代わりに注文していることもある。家族にもこの件を伝えておく。

今回、侵入されたのは 7NOW や出前館そのものではない。配達を任されていた外の会社の仕組みである。宅配では、届け先の名前や住所を配達する人に渡す必要がある。そのため、注文の情報が委託先のシステムにも流れる。委託先の守りが弱いと、元の会社がいくら守っていても、そこから漏れる。

両社の発表によると、CBcloud は、不正アクセス元からの通信を遮断し、不正に使われたアカウントを止め、悪用された不具合を直した。一部の機能と、日本の外からのアクセスも制限している。どんな不具合だったかは、発表には書かれていない。

出前館は CBcloud に、原因の全体の解明、ほかの弱点も含めた点検、長く続く再発防止策とその報告を求めている。両社とも、個人情報保護委員会に報告したとしている。

委託先や取引先を通じた情報漏えいは、日本でもこれまでに何度も起きている。利用者からは、自分の情報がどの会社まで渡っているのか見えにくい。これがこの種の事件のやっかいなところだ。

技術者向けの詳細

侵入の経路は、両社の発表では「悪用された不具合」とあるだけで、中身は公表されていない。CVE などの番号も示されていない。
発表の日付は2026年11月3日（日本時間）。不正アクセスが分かったのは11月1日（CBcloud の調査）。
CBcloud が実施済みとされる対応：
- 不正アクセス元からの通信の遮断
- 不正に使われた（出前館の発表では「不正に作成された」）アカウントの停止・無効化
- 悪用された不具合の修正
- 一部の機能と、日本国外からのアクセスの制限
出前館の連携の停止は11月2日14時過ぎから21時ごろまで。
両社とも「自社の認証情報や連携設定の流出・書き換えは確認されていない」としている。API の連携の鍵などが取られたことは今のところ確認されていない、という段階で、取られた可能性が否定されたわけではない。
対象の期間は公表されていない。続報で変わりうるため、両社の発表ページを確かめたい。
配達の委託先と連携している事業者は、委託先に渡す項目を配達に要る最小限に絞れているか、連携の鍵を入れ替えられる体制があるかを見直すとよい。

記事は、運営者が生成 AI を活用して作成し、内容を確かめたうえで公開しています。誤りに気づいたら編集方針の連絡先へ。