事案の概要データ
| 公表日 | 2026年11月2日（CBcloud。第2報まで公表） |
|---|---|
| 検知日 | 2026年11月1日 |
| 対象 | 配送サービス「ピックゴー」の法人向けサービス |
| 流出した可能性がある情報 | 荷主とパートナードライバーの個人情報を含む情報の一部。範囲と件数は調査中 |
| 波及（セブン‐イレブン・ジャパン） | 2026年11月3日公表。7NOWの配達業務委託に関し、注文者のお名前（カナ）、住所、電話番号など計169,151件が第三者に取得されたことを確認 |
| 波及（出前館） | 2026年11月3日公表。注文者のお名前799件、住所794件、電話番号・郵便番号33件などが取得されたことを確認 |
| 対象外の情報 | クレジットカード情報、ID・パスワード（セブン‐イレブン・出前館いずれも漏えいしていないと説明） |
| 状態 | 調査中 |
図解：この事故の構造
何が起きたのか
CBcloud株式会社は2026年11月2日、運営する配送サービス「ピックゴー」の法人向けサービスで、11月1日に第三者による不正アクセスを確認したと公表しました。荷主とパートナードライバーの個人情報を含む情報の一部が外部に流出した可能性があり、範囲と件数は調査中とされています。
翌11月3日、委託元2社が自社の影響範囲を公表しました。
セブン‐イレブン・ジャパンは、ネットコンビニ「7NOW」の配達業務を委託していた関係で、注文者のお名前（カナ）、住所、電話番号など計169,151件が第三者に取得されたことがCBcloudの調査で確認されたと公表。出前館は、注文者のお名前799件、住所794件、電話番号・郵便番号33件などが取得されたと公表しました。
いずれも、クレジットカード情報とID・パスワードは漏えいしていないとしています。
漏れたのは「住所」——配送業の事故は質が違う
メール配信の事故が続いた2026年10月〜11月のなかで、本件は性質が異なります。漏れたのは、注文者の名前と住所と電話番号です。
メールアドレスの流出は、偽メールの宛先になることが主な危険でした。住所はそうではありません。
①その住所に、実際に人が来られます。 「配達の再訪です」「商品の回収に伺いました」と言って玄関に立つことができます。
②「○月○日に○○を注文しましたよね」と言える。 注文の事実を知っている相手は、本物だと思われやすい。
③不在がちな時間帯が推測できる場合がある。 配達の記録は生活のパターンを含みます。
注文者にできる備えは、これです。訪問や電話で「追加料金」「返金のための口座番号」「本人確認のための暗証番号」を求められたら、その場で応じない。 公式アプリの注文履歴を自分で開いて確認する。
そして企業側です。配送を外部に委託するとき、渡すのは「届けるために必要な情報」だけになっていますか。名前・住所・電話番号・置き配の希望。ここまでは必要です。では、注文した商品名、金額、過去の注文履歴は、配達に必要でしょうか。
本件でセブン‐イレブンが公表した項目は「お名前（カナ）、住所、電話番号など」でした。漢字の氏名ではなくカナであることも、渡す項目を絞っていた可能性を示します。細かいことですが、こうした一つずつの判断が、事故のときの差になります。
件数が169,151件と799件に分かれた理由
同じ委託先で、セブン‐イレブンは169,151件、出前館は799件。200倍以上の差です。
これは、その委託先をどれだけ使っていたかの差です。全国の店舗で日常的に使っていれば件数は大きく、一部エリア・一部時間帯の補完的な利用なら小さい。
ここから、中小企業向けに実利のある話が出てきます。「委託先に預けているデータの量」は、使い方を変えれば減らせます。
具体的には3つです。
①その都度渡す。 配送のたびに必要な分だけ渡し、委託先に顧客名簿を常時置かない。
②完了したら消してもらう。 「配達完了後○日で削除」を契約に書く。
③委託先を分散しすぎない。 逆説的ですが、5社に顧客データを預けると入口が5つになります。数を絞り、1社あたりの管理を厚くするほうが安全な場合があります。
そして本件では、委託先が自社の調査結果を委託元に伝え、委託元が件数まで出して公表したという流れになっています。検知の翌日に委託先が公表し、その翌日に委託元2社が件数を出す。2日です。本サイトで扱ってきた事案のなかでは、かなり速い連携です。
時系列で見る経過
- 2026年11月1日CBcloudが「ピックゴー」法人向けサービスへの不正アクセスを確認
- 2026年11月2日CBcloudが公表。荷主とパートナードライバーの個人情報の一部が流出した可能性。範囲・件数は調査中
- 2026年11月3日セブン‐イレブン・ジャパンが、7NOWの注文者情報 計169,151件の取得を確認したと公表
- 2026年11月3日出前館が、注文者のお名前799件、住所794件、電話番号・郵便番号33件などの取得を確認したと公表
中小企業が学ぶべきポイント
- 漏れたのは名前・住所・電話番号。メールアドレスの流出とは危険の質が違い、実際に人が訪ねて来られる。
- 注文の事実を知っている相手は本物だと思われやすい。訪問や電話で追加料金や暗証番号を求められても、その場で応じない。
- 配送委託に渡すのは「届けるために必要な情報」だけにする。商品名・金額・過去の注文履歴は必要か検討する。
- セブン‐イレブンの公表項目は漢字氏名ではなくカナだった。項目を絞る判断が事故のときに差になる。
- 同じ委託先でも169,151件と799件に分かれた。差は「どれだけ使っていたか」。
- その都度渡す、完了後に消してもらう、委託先を増やしすぎない。預ける量は使い方で減らせる。
- 検知の翌日に委託先が公表し、その翌日に委託元2社が件数を公表。2日という連携の速さは参考になる。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。