要点
発表された事実
- 2026年10月27日12時30分頃、モバイルオーダーシステム「PICKS」を運営する株式会社DIRIGIOで、外部からシステムAPIへの不正アクセスが検知された。同日15時にモバイルオーダーのすべてのサービスを緊急停止し、不正なアクセス経路の遮断などの応急措置を実施した（SUBWAY）。
- B-R サーティワン アイスクリームは10月28日、「31モバイルオーダー」で注文情報9,799件、最大8,174名分のメールアドレス・電話番号・氏名・31Club会員ID（うち1名は配送先住所も）が漏えいしたと公表した。対象店舗は190店。カード情報とパスワードは含まれない（サーティワン）。
- SUBWAYを運営するWATAMI FAST CASUAL MANAGEMENTは、3店舗・注文7件・7名分の氏名・メールアドレス・電話番号・生年月日・性別と注文内容が流出した可能性があると発表した。カード情報、会員ID、配送先情報は対象外（SUBWAY）。
- DEAN & DELUCAを運営するウェルカムは10月27日、LINEミニアプリのモバイルオーダーで注文データ4件・3名分の氏名・メールアドレス・会員IDと注文情報が漏えいしたと発表した（DEAN & DELUCA）。
- SUBWAYは10月29日の更新で、DIRIGIOが原因箇所への対策と外部の診断ツールによる脆弱性診断を行ったとして、同日から順次注文受付を再開するとした（SUBWAY）。
わかっていないこと
- APIのどの部分が、どんな手口で悪用されたか
- PICKSを使う他のブランドに影響があるか
- サーティワン「31モバイルオーダー」の再開時期
- DIRIGIO自身による発表の有無と内容
関係しそうな既知の手口
- （考察）共通基盤のAPIに認可の不備があると、本来は自分の注文しか見られないはずの要求で他人の注文を取得できる。ブランドごとに件数が大きく違うのは、基盤に置かれていたデータ量の差を反映しているとみられる。
概要
- 複数の飲食ブランドが共同で使うモバイルオーダー基盤「PICKS」のAPIに不正アクセスがあり、提供元が全サービスを止めた。
- サーティワンで最大8,174名、SUBWAYで7名、DEAN & DELUCAで3名の情報が対象となった。カード情報はいずれも含まれない。
- 手口は公表されていない。SUBWAYは10月29日から順次再開した。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-27（火）12:30頃 | DIRIGIOがシステムAPIへの不正アクセスを検知（SUBWAY） |
| 10-27（火）15:00 | モバイルオーダーの全サービスを緊急停止（同） |
| 10-27（火） | DEAN & DELUCAが公表、同日夜に対象3名へメール連絡（DEAN & DELUCA） |
| 10-28（水） | サーティワン、SUBWAYが公表（各社） |
| 10-29（木） | SUBWAYが原因箇所の対策と脆弱性診断の実施を受け、順次注文受付を再開（SUBWAY） |
発表内容の整理
事実（各ブランドの発表）
| ブランド | 対象 | 項目 | 備考 |
|---|---|---|---|
| サーティワン | 注文9,799件、最大8,174名、190店 | メールアドレス、電話番号、氏名、31Club会員ID（1名は配送先住所） | 31Clubアプリとは別システム。個人情報保護委員会へ報告 |
| SUBWAY | 3店舗、注文7件、7名 | 氏名、メールアドレス、電話番号、生年月日、性別、注文内容 | 決済は外部の決済代行会社に委託。10月29日から順次再開 |
| DEAN & DELUCA | 注文データ4件、3名 | 氏名、メールアドレス、会員ID、注文情報 | オンラインストアとは別システム |
- サーティワンは、原因を「第三者による不正アクセス」と確認しているとし、登録メールアドレスは継続利用できるが、なりすましメール・SMSに注意するよう呼びかけている（サーティワン）。
- SUBWAYは、DIRIGIOが外部の診断ツールを用いたシステム全体のセキュリティ診断と、影響範囲の特定・原因究明を進めていると説明している（SUBWAY）。
考察
漏れた項目がブランドごとに違う（サーティワンは会員ID、SUBWAYは生年月日・性別）ことから、PICKSは導入先ごとに持つ項目を設定できる作りで、取得されたのは各ブランドの注文に付いた顧客情報だとみられる。全ブランドの注文が対象になったのか、一部の期間や店舗だけなのかは発表からは判断できない（考察）。
SUBWAYの再開は「原因箇所への対策」が済んだことを前提にしているが、その原因が何かは利用者に説明されていない。共通基盤の事故では、導入企業側が原因を説明できる立場にないことが多い（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは、国内で相次ぐ不正アクセスの類型として、アプリの管理用APIへの不正なリクエストなどを挙げている（JPCERT/CC）。
考察
今回の発表は「システムAPIへの不正アクセス」とだけ書いており、上の類型に当たるかはわからない。検知から2時間半で全停止した対応は早いが、止めるまでの間にどこまで取得されたかの説明が待たれる（考察）。
利用者・運用者がいまできること
- サーティワン、SUBWAY、DEAN & DELUCAのモバイルオーダーを使ったことがある人は、各社を名乗るメール・SMSのリンクを開かない。
- 共通基盤を導入する企業は、基盤に預ける顧客項目を注文に必要な最小限に絞り、提供元のAPIの認可設計とログの扱いを契約時に確認する。
参考リンク
- B-R サーティワン アイスクリーム「「31モバイルオーダー」不正アクセスに伴う情報漏えいに関するお詫びとお知らせ」（2026年10月28日）
- WATAMI FAST CASUAL MANAGEMENT「【更新】「SUBWAY公式モバイルオーダー」における不正アクセスによる個人情報流出に関するお詫びとお知らせ」（2026年10月28日、29日更新）
- DEAN & DELUCA「モバイルオーダーサービスにおける個人情報漏洩に関するお詫びとお知らせ」
- IT Post「モバイルオーダー基盤「PICKS」への不正アクセス、サーティワン最大8,174名・SUBWAY7名・DEAN & DELUCA3名に波及」
- JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」