CBcloudの「ピックゴー」への不正アクセス（委託元2社で約17万件の顧客情報流出）
公表日
配送プラットフォーム「ピックゴー」が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、配送を委託していたセブン‐イレブンの「7NOW」と出前館から合わせて約17万件の顧客情報が外部に取得されました。
対象者は？
セブン‐イレブンの宅配「7NOW」注文者（16万9,151件）および「出前館」注文者（799件）。氏名や住所、電話番号、一部の注文商品名などが含まれます。クレジットカード情報やID・パスワードは含まれていません。
セブン‐イレブン・ジャパンおよび出前館より、対象となる利用者へ登録電話番号宛てのSMS（ショートメッセージ）で順次連絡が行われます。また各社の相談窓口でも確認が可能です。
いますぐできること
- 配送業者や店舗などを名乗り、氏名や住所を悪用した不審な電話・ショートメッセージ（SMS）・メールに注意し、心当たりのないリンクを開いたり個人情報を入力したりしない。
- 注文した覚えのない配達や身に覚えのない請求が届いた場合は、開封・支払いをせず、各サービスの公式窓口へ問い合わせる。
何が起きたのか
2026年11月1日、CBcloudが運営する配送サービス「ピックゴー」が第三者からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受けたと判明しました。この不正アクセスによって、同社に配達業務を委託していた「7NOW」の注文者情報約16万9,000件と、「出前館」の注文者情報799件が第三者に取得されました。出前館は11月2日に約7時間システム連携を停止し、両社ともに11月3日に状況を公表しました。
なぜ起きたのか・なぜ広がったのか
ピックゴーのシステム上に存在した不具合が悪用され、不正に利用されたアカウントを通じて情報が取得されました。具体的な不具合の内容や侵入経路の詳細は公表されていません。
いまの状況2026-11-04 時点続報待ち
CBcloudは不正通信の遮断、不正利用アカウントの停止、不具合の修正、国外からのアクセス制限などの対策を実施しました。委託元両社は個人情報保護委員会へ報告を済ませ、対象顧客への個別連絡を進めています。公表時点で本件に関する不正利用の被害は確認されていません。
企業として考えたいこと
外部の配送業者やクラウドサービスに業務を委託する際、渡している顧客データは必要最小限に絞られているでしょうか。また、委託先でインシデントが起きた際に即座に連携を止められる手順はありますか？
技術的な要約
CBcloudが運営する配送プラットフォーム「ピックゴー」が第三者による不正アクセスを受け、システム上の不具合が悪用されたことが2026年11月1日に判明した。この不正アクセスにより、配送業務を委託していたセブン‐イレブン・ジャパンの宅配サービス「7NOW」の注文者情報16万9,151件と、出前館の注文者情報799件が第三者に取得されたことが確認された。取得された情報には氏名、住所、電話番号のほか、一部の注文店舗情報や商品名が含まれていたが、クレジットカード情報やID・パスワードの漏えいは確認されていない。CBcloudは不正通信の遮断、不正利用アカウントの停止、悪用された不具合の修正、国外アクセス制限などの対策を実施した。委託元である両社は個人情報保護委員会へ報告を行い、対象顧客への連絡を進めている。
攻撃の分類
- 侵入口
- 不明公表資料ではシステム上の不具合が悪用され、不正に利用されたアカウントが存在したと説明されているが、具体的な侵入経路や対象製品の種別は公表されていない。
- 脆弱性
- CVE 非公表不明悪用された不具合の対象製品名やCVE番号は公表されていない
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 出前館とのシステム連携が約7時間停止したほか、ピックゴーの一部機能および日本国外からのアクセス制限が実施された。7NOWは通常どおり稼働を継続した。期間：約7時間
- データ
- 確定上限 169,950確定 169,950件氏名住所電話番号業務データセブン‐イレブンの7NOW注文者情報169,151件（氏名カナのみ164,180件、氏名カナ・住所4,762件、氏名カナ・住所・電話番号・郵便番号209件）および出前館の注文者情報799件（氏名799件、番地までの住所794件、電話番号・郵便番号33件）の取得が確認された。一部で注文店舗情報、注文メモ、商品名、料金明細も含まれる。またCBcloudの荷主登録担当者や配達ドライバーの情報流出の可能性も公表されている。
- 波及先
- 2 社
- 株式会社セブン‐イレブン・ジャパン（7NOW）
- 株式会社出前館
- 金銭影響
- —
- サプライチェーン
- 配送プラットフォーム「ピックゴー」を運営するCBcloudが不正アクセスを受け、配達業務を委託していたセブン‐イレブン・ジャパン（7NOW）および出前館の注文者情報が外部に取得された。
時系列
- 2026-11-01
- 2026-11-02CBcloudが「ピックゴー」への不正アクセスと個人情報流出の可能性について第1報を公表する7
- 2026-11-02 14:00
- 2026-11-02
- 2026-11-02 21:00
- 2026-11-03
- 2026-11-03
- 2026-11-03
- 2026-11-03
技術解説
配送プラットフォームへの不正アクセスと委託元2社での情報流出 事実
2026年11月1日、CBcloudが運営する配送プラットフォーム「ピックゴー」において第三者による不正アクセスが判明した。本件ではシステム上の不具合が悪用され、不正に利用されたアカウントが存在していた。この影響により、配送業務を委託していたセブン‐イレブン・ジャパンの「7NOW」において16万9,151件（氏名カナのみ16万4,180件、氏名カナ・住所4,762件、氏名カナ・住所・電話番号・郵便番号209件）、出前館において799件（氏名799件、番地までの住所794件、電話番号・郵便番号33件）の注文者情報が外部に取得されたことが確認された。また、一部で注文店舗情報や商品名、料金明細なども含まれていた。一方で、クレジットカード情報やID・パスワードの流出、委託元両社の認証情報や連携設定の流出・改ざんは確認されておらず、本件に起因する不正利用被害も公表時点では確認されていない。CBcloudは通信遮断、アカウント停止、不具合修正、国外アクセス制限などを実施した。
被害判明後の連携遮断と公表に至る経緯 事実
CBcloudでの不正アクセス確認後、委託元への連絡と被害抑止対応は段階的に進められた。出前館は2026年11月2日にCBcloudから事象の連絡を受け、被害拡大防止のため同日14時過ぎにシステム連携を停止した。その後、CBcloudによる不具合修正の完了と自社側の通信状況確認を経て、同日21時ごろに約7時間ぶりに連携を再開した。一方、セブン‐イレブン・ジャパンへは11月3日に「7NOW」顧客情報の一部の取得が判明したとして連絡が行われ、同サービスは通常通り稼働を継続した。CBcloudは11月2日に第1報、11月3日に第2報を公表し、荷主登録担当者や配達ドライバー情報流出の可能性にも言及した。委託元の2社はともに11月3日に顧客情報の外部取得を公表するとともに、個人情報保護委員会への報告を行い、対象顧客に対して登録電話番号宛てのSMS通知を進めている。
委託先プラットフォームを起点とするサプライチェーンリスクの構造 解釈
本件は、複数の事業者が配送業務を同一の外部プラットフォームに委託していたことで、1箇所のシステム侵害が複数サービスの顧客情報流出へと波及したサプライチェーン型のインシデントといえる。委託元である出前館が通知直後にAPI等の連携を一時停止した判断は、委託先環境の安全性が確認されるまでの間、さらなるデータ送信や侵害拡大を防止する観点から迅速な一次対応であったと考えられる。また、流出したデータ項目が注文者ごとに「氏名のみ」「氏名と住所」など差異がある点や、一部注文のみ詳細な商品名やメモが含まれていた点からは、侵害されたアカウントのアクセス権限や取得されたAPIエンドポイント、保持データ期間によって取得範囲が異なっていた可能性がうかがえる。外部委託先とのAPI連携では、必要最小限のデータ項目のみを共有する設計（最小権限の原則）や、委託先側の異常検知時に自動または即座に連携を切り離す手順の整備が重要となる。
対応
- 封じ込め
- 不正アクセス元からの通信遮断、不正に利用されたアカウントの停止、悪用された不具合の修正を実施。あわせて一部機能および日本国外からのアクセスを制限した。
- 公表の仕方
- CBcloudは2026年11月2日に第1報、11月3日に第2報を公表。委託元のセブン‐イレブン・ジャパンおよび出前館も11月3日に顧客情報漏えいを公表し、対象者に対してSMSで順次連絡を実施している。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 外部連携先におけるインシデント発生時に、被害拡大を防ぐための連携遮断手順が不可欠であること。 | 委託先や外部API連携ごとに個別のCircuit Breakerや手動キルスイッチ（通信遮断機能）を実装し、外部システムでの侵害検知時に数分〜数十分以内にデータ送信を停止できる運用手順と権限を整備する。 |
| 委託先システムへ連携・提供する個人情報データは、業務上真に必要な最小限に限定する必要があること。 | 配送委託先へのAPIリクエストペイロードにおいて、注文メモや商品詳細、不要な連絡先などの機微情報をマスクまたは除外し、配送完了に必要な情報のみを渡すデータフィルタリングを実装する。 |
| WebアプリケーションやAPIにおける不具合の悪用および不正アカウントの活動を早期に検知・抑止すること。 | WAFの導入による攻撃遮断に加え、アカウントごとの通常と異なる大量データ取得APIリクエストや、日本国外IPアドレスなど異常なアクセス元からの通信に対するレートリミットおよびアラート検知を実装する。 |
| 不正アクセス検知時におけるアカウントの無効化とセッション強制切断の迅速化。 | 不正利用が疑われるアカウントを即時に無効化できるよう、アクセストークンやセッションの即時失効APIを整備し、インシデント発生時に管理者コマンド等で特定アカウントのセッションを全切断できるようにする。 |
自組織などでの確認項目
- 自社が業務委託先や外部プラットフォームとAPI連携している場合、委託先側で障害や侵害が発生した際に即時連携を停止できるキルスイッチや遮断手順が存在するか。
- 配送や決済などの外部サービスに送信しているデータ項目を洗い出し、業務上必須ではない顧客属性や注文詳細情報が含まれていないか確認できているか。
- 自社の公開APIやWebサービスにおいて、特定アカウントによる大量データ取得や短時間の異常アクセス、通常想定されない海外IP等からのリクエストを検知・制限する仕組みが導入されているか。
未解明点
- CBcloudの「ピックゴー」で悪用された「システム上の不具合」の具体的な技術的性質（認可制御の不備、認証回避、インジェクション等）や製品・対象コンポーネントは何であったか。
- 不正に利用されたアカウントは新規に不正作成されたものか、あるいは既存の正規アカウントの認証情報が窃取・流用されたものか。
出典
- 1株式会社アクト2026-11-04報道本文確認済
- 2株式会社アクト2026-11-04報道本文確認済
- 3CBcloud株式会社公式本文確認済
- 4CBcloud株式会社公式本文確認済
- 5株式会社出前館2026-11-03公式本文確認済
- 6ビジネス＋IT2026-11-04報道本文確認済
- 7セキュリティ対策Lab2026-11-03報道本文確認済
- 8セキュリティ対策Lab2026-11-03報道本文確認済
- 9ITmedia NEWS2026-11-04報道本文確認済
- 10日本インタビュ新聞社2026-11-04報道本文確認済
- 11株式会社セブン‐イレブン・ジャパン2026-11-03公式本文確認済
- 12Impress Watch2026-11-04報道本文確認済