CBcloudの配送プラットフォーム「ピックゴー」への不正アクセスを受け、7NOW、出前館、日本郵便が顧客情報への影響を公表しました。漏えいした情報の項目や件数は、利用したサービスごとに異なります。 ピックゴーに直接登録した覚えがなくても、配達を頼んだサービスの委託先として関係している場合があります。
CBcloudは11月1日に法人向けサービスへの不正アクセスを確認し、11月2日に第1報、11月3日に第2報を公表しました。同社の第2報は、荷主や配送ドライバーについて「流出した可能性のある範囲」を示しています。一方、7NOW・出前館・日本郵便は、それぞれの顧客情報について外部に取得・漏えいされたことを確認したと説明しています。CBcloudの第1報／第2報
7NOW・出前館・日本郵便で、対象情報はどう違う？
以下は各社が公表した区分です。件数をそのまま人数に置き換えたり、異なる項目の件数を足して被害者の総数としたりしないようにしてください。
7NOW：カナ氏名のほか、一部は住所・電話番号も
セブン‐イレブン・ジャパンの11月3日発表では、第三者による取得が確認された情報を次の3区分で示しています。
- 注文者・届け先の名前（カナ）：164,180件
- 名前（カナ）と住所：4,762件
- 名前（カナ）、住所、電話番号、郵便番号：209件
一部では注文日、注文店舗の名前と住所、注文商品名も取得されています。クレジットカード情報、ID・パスワードなどは漏えいしていないと説明しています。対象者への連絡は、登録電話番号へのSMSで順次行う方針です。7NOWの公式発表
出前館：氏名799件、住所794件など。注文メモも一部対象
出前館の11月3日発表は、取得された情報を項目別に示しています。
- 注文者・届け先の名前：799件
- 住所：794件（番地まで）
- 電話番号・郵便番号：33件
一部には、注文店舗の名前・住所・電話番号、注文メモ、商品名、料金明細も含まれます。クレジットカード情報、ID・パスワードなどは漏えいしていないとしています。対象者には、登録メールアドレスへ順次連絡すると案内しています。出前館の公式発表
日本郵便：氏名のみ。対象の集荷・配達期間も公表
日本郵便の11月5日発表によると、対象は2025年12月〜2026年3月と2026年9月に、CBcloudが集荷・配達を担当した顧客の一部です。
- 名前（姓名）：1,672件
- 名前（姓のみ）：2,091件
住所や電話番号など、その他の顧客情報は含まれないと説明しています。対象者には、準備が整い次第、書面などで個別に連絡する方針です。日本郵便のすべての利用者・荷物が対象という発表ではありません。日本郵便の公式発表
ピックゴーを使う法人やドライバーは、個別の範囲を確認する
CBcloudの第2報では、流出した可能性のある情報として、次の範囲を挙げています。
- 荷主の登録情報：法人名、担当者名、登録住所、電話番号、メールアドレス
- 配送の発注情報：案件ID・金額、集荷先と届け先の名称・住所、担当者名・電話番号
- 担当ドライバーの情報：氏名、電話番号、メールアドレス、車両番号、配送中の位置情報、車両画像・プロフィール画像へアクセスできるURL
画像について公表されたのは、画像にアクセスするためのURL情報です。同社はURLの有効期間を発行後5分と説明しています。画像そのものの流出が確認されたという意味には置き換えられません。
この一覧は、同社が示す最大限の可能性の範囲で、会社ごとに対象が異なります。第2報に事案全体の件数は示されていません。銀行口座やクレジットカード番号などの決済情報は取得されておらず、ログインパスワードも流出対象に含まれないとしています。CBcloudの第2報
法人担当者は、この一覧を自社の確定した被害として顧客へ転送するのではなく、CBcloudからの個別案内で、自社の案件・対象期間・情報項目を確かめる必要があります。
通知が来たら、リンクを開く前に公式サイトで確認を
公表された通知方法は、7NOWがSMS、出前館がメール、日本郵便が書面などです。ただし、その方法で届いたというだけで正規の通知とは判断できません。
普段使っている公式アプリや、登録済みのブックマークから公式サイトを開き、対象サービス・対象情報・必要な手続きを確認してください。通知がまだ届いていない場合も、それだけで対象外と決めないようにしましょう。
CBcloudと出前館は、会社や配送業者を装った不審な連絡に注意を促しています。「返金」「再配達」「本人確認」を口実に、パスワード・認証コード・カード情報や金銭を求められても、その場で応じず公式窓口へ確認してください。これらは一般的に警戒したい連絡の例であり、今回その手口の被害が確認されたという意味ではありません。CBcloudの注意喚起／警察庁のフィッシング対策
7NOW・出前館は11月3日、日本郵便は11月5日の発表時点で、本件に起因する不正利用の被害は確認していないとしています。漏えいの確認と、その情報が悪用された二次被害の確認は別です。
すでに偽サイトにパスワードを入力した、身に覚えのない決済があるといった場合は、個別通知を待たず、サービス提供者やカード会社の公式窓口へ相談してください。情報の種類別の対処は、個人情報が漏れたらどうする？ 確認することと対処法にまとめています。
配送を外注する事業者が確認したいこと
配送の委託先には、荷物を届けるための住所や連絡先、注文に関する情報が渡ります。自社のサイトが直接侵害されていなくても、委託先の事故で顧客対応が必要になることがあります。今回の各社発表を踏まえ、事業者として次の点を整理しておきましょう。
-
渡した情報を案件単位で確認する
顧客名・住所だけでなく、注文メモや商品名まで送っているか、過去の情報がどこまで残っているかを点検します。必要以上の情報を渡していないかも確認します。 -
確定した範囲と、調査中の範囲を分ける
自社分の対象期間、件数、情報項目、重複の扱いについて説明を受けます。「委託先全体の可能性」と「自社の確認済みの被害」を混ぜずに記録します。 -
連携を続ける・止める判断材料を揃える
不正なアクセスが止まっているか、悪用された不具合の修正が確認されたか、自社からの通信や認証情報に異常がないかを確認します。止める場合に備え、代替配送や顧客への案内も用意します。 -
顧客通知の役割を決める
委託元・委託先のどちらが、誰に、どの窓口から連絡するかを揃えます。問い合わせ担当者にも、確定事項と未確認事項を同じ内容で共有します。
これは委託元が対応を進めるための確認例です。各社に上記の管理不備があったと断定するものではありません。
サービスの状況と、まだ分からないこと
CBcloudは不正アクセス元との通信遮断、アカウントの停止、悪用された不具合の修正を実施しました。11月3日の第2報では、国外からのアクセスに一部制限を残す一方、国内からは従来どおり利用できると説明しています。CBcloudの対応状況
7NOWは11月3日時点で通常稼働。出前館は11月2日14時過ぎにCBcloudとの連携を止め、不具合修正と自社側の通信を確認したうえで、同日21時ごろに再開しています。一時的な連携停止と、サービス全体の停止は区別して捉える必要があります。 7NOWの稼働状況／出前館の対応経緯
確認した公式発表では、不具合の具体的な内容や事案全体の人数は示されていません。ランサムウェアや特定の製品の脆弱性が原因だったとは断定できません。個別の対象や今後の対応は、利用先の続報を確認してください。
情報確認日：2026年11月7日。CBcloudの第2報（11月3日）、7NOW・出前館（11月3日）、日本郵便（11月5日）の公式発表に基づきます。