Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2026-dirigioIT/クラウド最終確認 2026-11-01 17:24

株式会社DIRIGIOへの不正アクセス（モバイルオーダー顧客情報8,312人流出）

公表日

株式会社DIRIGIO
最終報不正アクセス脆弱性悪用サプライチェーン：起点

モバイルオーダーシステム「PICKS」のAPIが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、利用ブランドの顧客情報8,312人分が流出しました。

対象者は？

「PICKS」を採用するサーティワン、DEAN & DELUCA、サブウェイなどのモバイルオーダーで注文を行った顧客重複を除き8,312人（注文9,992件）。氏名やメールアドレスのほか、一部で電話番号や注文履歴等が含まれます。クレジットカード番号やパスワードは含まれていません。

対象となった顧客に対しては、DIRIGIOまたは各利用ブランド（サーティワン、DEAN & DELUCA等）から個別のメール等で案内が行われています。

株式会社DIRIGIO 公式発表 ↗B-R サーティワンアイスクリーム株式会社 公式発表 ↗株式会社ウェルカム（DEAN & DELUCA） 公式発表 ↗WATAMI FAST CASUAL MANAGEMENT（サブウェイ） 公式発表 ↗

いますぐできること

  • サーティワンや各ブランド、システム提供元を装った不審な迷惑メールやフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。SMSに注意し、記載されたURLを不用意に開かないようにしてください。

何が起きたのか

2026年10月27日昼、モバイルオーダーシステム「PICKS」を運営するDIRIGIOのシステムAPIに対し外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が行われ、顧客情報が持ち出されていることが判明しました。DIRIGIOは同日15時に全サービスを緊急停止して通信を遮断し、導入先である飲食ブランドへ通知しました。調査の結果、サーティワン（最大8,174人）やDEAN & DELUCA（3人）、サブウェイ（7人）など、複数ブランドの顧客情報計8,312人分の流出が確認されました。

なぜ起きたのか・なぜ広がったのか

第三者がDIRIGIOのシステムAPIを経由して顧客情報管理システムへ不正に侵入したためです。APIの認証回避やアクセス制御の不備、具体的な脆弱性の詳細までは公表されていません。

いまの状況2026-10-30 時点

DIRIGIOは原因となった脆弱性の修正、全顧客の強制ログアウト（認証情報の更新）、外部診断ツールを用いたシステム全体のセキュリティ診断を完了し、安全性を確認したうえで2026年10月29日より順次サービスを再開しました。個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くことが多いのは、このためです。と警察への相談も行われています。

企業として考えたいこと

自社サービスで提供・連携している外部APIにおいて、適切なアクセス権限の確認やデータ持ち出しを防ぐ仕組みが機能しているか把握できていますか？

技術的な要約

株式会社DIRIGIOが運営するモバイルオーダーシステム「PICKS」のAPIに対し、第三者による不正アクセスが発生した。同社は2026年10月27日12時30分頃に不正アクセスを検知し、同日15時にPICKSの全サービスを緊急停止してアクセス経路の遮断などの応急措置を実施した。調査の結果、システムAPIを経由して顧客情報が外部に持ち出され、PICKSを利用するサーティワン、DEAN & DELUCA、サブウェイなどの顧客情報重複を除き8,312人分（注文9,992件）の漏えいが確認された。クレジットカード情報やログインパスワードの流出は確認されていない。DIRIGIOは脆弱性の修正や全顧客のログアウト、セキュリティ診断等の安全確認を行い、2026年10月29日より順次サービスを再開した。

侵入
—
被害発生
—
検知
2026-10-27 12:30
第1報公表
2026-10-27
最新続報
2026-10-30
侵入 → 検知
—
侵入日が非公表
検知 → 公表
0日
データ（上限）
8,312人
確定 8,312
波及先
4
社

攻撃の分類

侵入口
管理画面/API公表で確認
公式発表によると、第三者がDIRIGIOのシステムAPIを経由して顧客情報管理システムに不正侵入し、顧客情報を外部に持ち出した。具体的な認証回避やアクセス制御の不備、悪用された脆弱性の詳細までは公表されていない。
脆弱性
CVE 非公表公表で確認
PICKS（API）
具体的な脆弱性識別番号（CVE）は非公表だが、API経由で不正侵入を許す脆弱性が存在したとされ、サービス停止中に脆弱性の修正が行われた。
攻撃者
特定・主張なし
ATT&CK
T1190 Exploit Public-Facing ApplicationT1005 Data from Local System

影響

業務停止
あり 2026年10月27日15時に被害拡大防止のため「PICKS」の全サービスを緊急停止した。脆弱性修正やセキュリティ診断等の安全確認を経て、2026年10月29日10時より順次サービスを再開した。
期間：2026-10-27 から 2026-10-29
データ
確定上限 8,312確定 8,312人
氏名メール電話生年月日性別会員ID住所購入履歴その他
DIRIGIO公式発表による重複を除いた対象顧客数は8,312人（非会員注文者を含む）、対象注文件数は9,992件。氏名とメールアドレスが流出したほか、一部利用者については電話番号、生年月日、性別、会員ID、住所、注文内容（商品・金額・日時・状態）、注文メモも含まれる。クレジットカード番号は保持しておらず、パスワードの漏えいも確認されていない。
波及先
4 社
  • B-R サーティワン アイスクリーム（31モバイルオーダー：最大8,174名・190店舗・注文9,799件）
  • WATAMI FAST CASUAL MANAGEMENT（SUBWAY公式モバイルオーダー：7名・3店舗・注文7件）
  • 株式会社ウェルカム（DEAN & DELUCA モバイルオーダーサービス：3名・注文4件）
  • 株式会社ガネーシャ（SHOGUN BURGER 公式アプリのモバイルオーダー）
金銭影響
—
サプライチェーン
DIRIGIOが飲食チェーン向けに開発・運営するモバイルオーダーシステム「PICKS」のAPIが不正アクセスを受け、システムを利用・導入していたサーティワン、DEAN & DELUCA、サブウェイ、SHOGUN BURGERなどのブランドに顧客情報流出被害が波及した。

時系列

  1. 2026-10-27 12:30
    DIRIGIOが「PICKS」の顧客情報管理システムAPIに対する外部からの不正アクセスを検知1378
  2. 2026-10-27 15:00
    DIRIGIOが被害拡大防止のためPICKSの全サービスを緊急停止し、アクセス経路を遮断1378
  3. 2026-10-27 15:00
    DIRIGIOが導入企業のウェルカムやサーティワンなどに不正アクセスの発生を報告6711
  4. 2026-10-27
    ウェルカムが「DEAN & DELUCA モバイルオーダーサービス」における個人情報漏えい（3人分）を発表6
  5. 2026-10-27 21:00
    ウェルカムが漏えい対象となった顧客3名に個別のメール連絡を実施11
  6. 2026-10-28
    B-R サーティワン アイスクリームが「31モバイルオーダー」で最大8,174人分の情報漏えいが発生したと発表し、個人情報保護委員会に報告12510
  7. 2026-10-28
    WATAMI FAST CASUAL MANAGEMENTが「SUBWAY公式モバイルオーダー」で利用者7名分の情報流出の可能性があると発表127
  8. 2026-10-29 10:00
    DIRIGIOが脆弱性の修正、全顧客のログアウト（認証情報更新）、安全性確認を行い「PICKS」のサービスを順次再開3
  9. 2026-10-29
    WATAMI FAST CASUAL MANAGEMENTが「SUBWAY公式モバイルオーダー」の注文受付を順次再開8
  10. 2026-10-29 15:00
    ウェルカムが安全確認を完了し「DEAN & DELUCA モバイルオーダーサービス」を再開11
  11. 2026-10-30
    DIRIGIOが「PICKS」への不正アクセスによる個人情報漏えい（対象8,312人、注文9,992件）およびサービス再開を公式発表34

技術解説

検知から初動停止および各導入事業者への通知の流れ 事実

株式会社DIRIGIOは2026年10月27日12時30分頃、モバイルオーダーシステム「PICKS」の顧客情報管理システムAPIに対する外部からの不正アクセスを検知した。検知から約2時間半後の同日15時には、被害拡大防止のためPICKSの全サービスを緊急停止し、不正アクセス経路の遮断などの応急措置を実施した。あわせて、同システムを導入している各企業への報告が行われ、株式会社ウェルカムには同日15時頃に連絡が入った。ウェルカムは同日中に公表し、対象顧客3名へ21時頃に連絡を行っている。翌10月28日にはB-R サーティワン アイスクリームおよびサブウェイを運営するWATAMI FAST CASUAL MANAGEMENTが被害の可能性を公表した。DIRIGIOは脆弱性の修正、全顧客のログアウト処理、外部診断ツールによる診断等の安全確認を経て、10月29日10時より順次サービスを再開し、10月30日に公式発表を行った。

SaaS・プラットフォーム提供元におけるAPI侵害とサプライチェーン波及 解釈

本事案は、単一のSaaS・プラットフォーム提供元のAPI侵害が、同基盤を採用する複数の大手飲食ブランドへ一挙に波及した典型的なサプライチェーンインシデントである。DIRIGIOの「PICKS」はサーティワン、サブウェイ、DEAN & DELUCAなど複数企業でモバイルオーダー基盤として利用されていたため、APIへの侵入が各社の顧客情報流出に直結した。一方で、各ブランドの会員基盤本体（31ClubアプリやDEAN & DELUCAオンラインストアなど）や決済処理（外部代行会社へ委託）がPICKSとは論理的・物理的に分離されていたため、決済情報やパスワードの流出、本流システムへの横展開という最悪の事態は防がれている。SaaS選定や設計において、決済代行の直接連携や基幹会員システムとのデータ分離が、波及時の被害極小化に有効に機能した事例といえる。

APIセキュリティ対策と迅速なサービス停止判断の評価 解釈

DIRIGIOは不正アクセス検知から2時間半で全サービスを全面停止し、アクセス経路遮断、脆弱性修正、全セッションの強制ログアウト（認証情報の更新）を実施した。この迅速な初動停止により、流出件数は重複除き8,312人（注文9,992件）にとどまり、大規模な情報持ち出しの継続を防止できたと評価できる。しかし、API経由で直接顧客情報管理システムへのアクセスおよびデータ持ち出しを許した背景には、APIエンドポイントにおける認証・認可制御の不備（オブジェクトレベルの認可不備など）や過度なデータ返却、外部公開APIに対するレートリミットや異常検知の遅れが存在した可能性が考えられる。APIエコノミーが進む中、公開APIの継続的な脆弱性診断や厳格なアクセストークン検証、権限制御が不可欠であることを示している。

対応

封じ込め
不正アクセス検知から約2時間半後の2026年10月27日15時に「PICKS」の全サービスを緊急停止し、不正アクセス経路の遮断を実施した。原因となった脆弱性の修正、全顧客のログアウト処理（認証情報の更新）を実施したほか、外部診断ツールを用いたシステム全体の脆弱性・セキュリティ診断を行い、安全性を確認した。
公表の仕方
不正アクセス発生直後に導入各事業者へ報告を行った。DIRIGIOは2026年10月30日に公式サイトでお詫びとサービス再開に関するリリースを公表し、漏えいが確認された顧客に対してはDIRIGIOまたは導入事業者から順次個別に連絡を実施した。各導入事業者（ウェルカム、B-R サーティワン アイスクリーム、WATAMI FAST CASUAL MANAGEMENT）もウェブサイト等で公表を行った。
当局対応
  • 個人情報保護委員会
  • 警察

教訓と対策

教訓具体的な対策
公開APIにおける厳格なオブジェクトレベル認可と入力・要求検証の徹底APIエンドポイントごとにユーザーIDやセッションに基づくオブジェクトレベルのアクセス権（BOLA/IDOR対策）を検証し、認可されていない他者の顧客情報や注文データが参照・一括取得できないようアクセス制御を実装する。
API利用の異常行動検知とレートリミットの導入短時間での大量リクエストや異常なパラメータ呼び出しを遮断するため、APIゲートウェイやWAFでIPアドレスやトークン単位のレートリミットを導入し、データ持ち出しの兆候を即時検知・遮断するアラートを整備する。
重要データ保持の最小化と決済機能の外部分離（トークン決済）クレジットカード番号等の機微決済情報は保持せず外部決済代行サービスへ直接送信する構成を維持し、万が一のAPI侵害時でも決済情報が漏えいしないアーキテクチャを確立する。
プラットフォーム侵害時における迅速なセッション無効化手順の確立APIやアカウント侵害の検知時に、発行済みJWTやセッション情報を即座に全件無効化（ブラックリスト登録やシークレット更新による全ログアウト）できる運用手順と自動化スクリプトを整備しておく。

自組織などでの確認項目

  1. 自社が提供または利用している公開APIエンドポイントにおいて、他者のデータが参照できないよう適切な認可制御（オブジェクトレベルの認可検証）が実装されているか。
  2. 外部公開APIに対する短時間の大量アクセスやスクレイピング行為を検知・自動遮断するレートリミットや監視アラートが設定されているか。
  3. 万が一APIや管理画面の侵害が疑われた際、全セッションの即時無効化（強制ログアウト）やサービスの緊急切り離しを迅速に実行できる手順が整備されているか。

未解明点

  • DIRIGIOのシステムAPIにおいて顧客情報管理システムへの侵入を許した具体的な技術的原因（認証の回避、BOLA/IDOR等の認可不備、外部ライブラリの既知脆弱性など）の詳細。

出典

  1. 1
  2. 2
  3. 3
  4. 4
  5. 5
  6. 6
  7. 7
  8. 8
  9. 9
  10. 10
    「31モバイルオーダー」不正アクセスに伴う情報漏えいに関するお詫びとお知らせ
    B-R サーティワンアイスクリーム株式会社2026-10-28公式本文確認済
  11. 11