「7NOW」の配達委託先に不正アクセス、利用者情報16万9,151件

何が起きたのか

セブン‐イレブン・ジャパンは2026年11月3日、宅配サービス「7NOW」の利用者の情報が外部に取得されたと公表しました。

「7NOW」の配達の一部はCBcloudに委託しており、CBcloudが運営するサービス「ピックゴー」が第三者の不正アクセスを受けました。経過は次のとおりです。

• 11月1日：CBcloudの調査で、ピックゴーへの不正アクセスが判明
• 11月3日：「7NOW」の情報の一部も取得されたことが分かり、CBcloudからセブン‐イレブン・ジャパンへ連絡。同じ日に公表

不正アクセスではピックゴーの不具合が悪用されましたが、手口の詳細は公表されていません。対象は、「7NOW」を使い、注文者（届け先）として情報が登録されたお客様です。

漏れた情報

合計は16万9,151件で、内訳は次のとおりです。

取得された項目	件数
氏名（カナ）のみ	16万4,180件
氏名（カナ）と住所	4,762件
氏名（カナ）、住所、電話番号、郵便番号	209件

一部のデータでは、注文日、注文店舗名と店舗住所、注文商品名も取得されました。つまり、受け取った人の名前に加えて、いつ、どの店で、何を注文したかが分かるものがあります。

クレジットカード情報、IDとパスワードは含まれていません。上記以外の情報は漏れていないとしています。

会社の対応

CBcloudは、不正アクセス元からの通信を遮断し、不正に使われたアカウントを止め、悪用された不具合を直しました。再発防止として、一部の機能と、日本国外からのアクセスを制限しています。

CBcloudの調査では、セブン‐イレブン・ジャパンの認証情報や連携設定の流出、書き換えは確認されていません。「7NOW」は通常どおり動いており、この件を原因とする不正利用の被害も確認されていません。個人情報保護委員会には報告済みです。

対象のお客様には、登録の電話番号宛てにショートメッセージ（SMS）で順次連絡します。お知らせには、不審な連絡への注意や、連絡が本物かどうかの確かめ方についての記載はありません。問い合わせ先は2つに分かれ、「7NOW」のお問い合わせ窓口（電話）と、CBcloudのお客様相談窓口（Webフォームとメール）です。

中小企業が学べること

配達や発送を外部に任せると、お客様の氏名や住所も外部のシステムに渡ります。この件では、渡る項目の違いが漏れた内容の違いになりました。大半は氏名（カナ）だけで、住所や電話番号まで渡っていたのは一部です。自社の委託先に何を渡しているかを、項目ごとに一覧にして見直せます。

見直すときの観点は次のとおりです。

• 配達や発送に必要な項目だけを渡しているか。電話番号は、配達員が連絡する場面だけ必要になる、といった区切りで考えます
• 委託先のシステムと自社をつなぐ認証情報や設定が、委託先の事故のときに安全かを確かめる手順があるか。この件ではCBcloudが、連携設定の流出や書き換えがないことを確認し、セブン‐イレブン・ジャパンもそれを公表しています
• 事故の連絡を受けたあと、対象のお客様にどの手段で連絡するか。この件はSMSでした。メールで連絡できるのか、電話番号しか持っていないのかで、手段が決まります

委託先に何を聞くかは、システムの委託先に聞くべき5つのことにまとめています。