要点
発表された事実
- CBcloudは、2026年11月1日に法人向け配送サービス「ピックゴー」への不正アクセスを確認し、通信の遮断、不正利用されたアカウントの停止、悪用された不具合の修正を行ったと公表した（CBcloud 第1報）。
- 流出の可能性がある範囲は、法人顧客の法人名・担当者氏名・住所・電話番号・メールアドレスと、発注情報（集荷先・届け先の名称、住所、担当者氏名、電話番号、ドライバーの氏名・電話番号・車両番号・配送中の位置情報など）。決済情報とログインパスワードは対象外としている（CBcloud 第2報）。
- セブン‐イレブン・ジャパンは、ネットコンビニ「7NOW」の配送委託先であるCBcloudのシステムから、氏名（カナ）16万4,180件などが第三者に取得されたと公表した（セブン‐イレブン）。
- 出前館は、同社の配送でCBcloudのシステムを使っていた注文の、氏名799件・住所794件などが取得されたと公表した（出前館）。
- 【2026-11-07追記】日本郵便は11月5日、集荷・配達を委託するCBcloudの「ピックゴー」不正アクセスにより、2025年12月〜2026年3月および2026年9月に同社が集荷・配達した一部顧客の氏名（姓名）1,672件・氏名（姓のみ）2,091件が第三者に漏えいしたと公表した。住所・電話番号などその他の情報は含まれない。二次被害は未確認。対象者には準備が整い次第個別連絡する。個人情報保護委員会に報告済み（日本郵便）。
わかったこと
- 【2026-11-07追記】日本郵便委託分の影響が判明。氏名（姓名）1,672件・氏名（姓のみ）2,091件。住所・電話番号は含まない（日本郵便）。
わかっていないこと
- 悪用された「不具合」が何で、不正なアカウントがどう作られたか。
- 不正アクセスがいつから続いていたか。
- 7NOW・出前館・日本郵便以外の荷主企業や、ドライバーの情報がどれだけ取得されたか。
関係しそうな既知の手口
- （考察）出前館は「不正に作成されたアカウント」を無効化したと書いている。法人向けサービスで、アカウント登録や権限の確認の不備を突かれた可能性はあるが、CBcloudは手口を公表していない。
概要
- 主語：CBcloud（配送マッチング「ピックゴー」の運営会社）と、配送を委託していたセブン‐イレブン・ジャパン、出前館
- 何が起きたか：ピックゴーの法人向けサービスで不具合を悪用した不正アクセスがあり、発注情報に含まれる注文者の情報が取得された
- 影響：7NOWで最大16万4,180件、出前館で799件など（項目の組み合わせは下表）
- 決済情報・ログインパスワード：対象外（各社発表）
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-11-01 | CBcloudが法人向けサービスへの不正アクセスを確認。通信遮断、不正利用アカウントの停止、不具合の修正。一部機能と日本国外からのアクセスを制限 | CBcloud 第1報 |
| 2026-11-02 | CBcloudが第1報・第2報を公表。出前館は14時過ぎにCBcloudとの連携を止め、21時ごろ再開 | CBcloud 第2報、出前館 |
| 2026-11-03 | セブン‐イレブン・ジャパンと出前館がそれぞれ顧客情報の取得を公表 | セブン‐イレブン、出前館 |
| 2026-11-04 | CBcloud調査により、日本郵便委託荷物の一部で顧客情報漏えいが判明（日本郵便発表の経緯） | 日本郵便 |
| 2026-11-05 | 日本郵便が氏名（姓名）1,672件・氏名（姓のみ）2,091件の漏えいを公表 | 同 |
発表内容の整理
事実（CBcloudによる）
| 項目 | 内容 |
|---|---|
| 対象 | ピックゴーの法人向けサービス |
| 流出の可能性がある法人顧客情報 | 法人名、担当者氏名、住所、電話番号、メールアドレス |
| 流出の可能性がある発注情報 | 案件ID、金額、集荷先・届け先の名称・住所・担当者氏名・電話番号、ドライバーの氏名・電話番号・メールアドレス・車両番号・配送中の位置情報、画像URL（発行から5分で無効になるもの） |
| 対象外 | 決済情報、ログインパスワード |
| マルウェア感染 | 確認されていない |
| 対応 | 通信遮断、不正利用アカウント停止、不具合修正、一部機能と国外からのアクセスの制限（国内からは従来どおり利用可能） |
事実（セブン‐イレブン・ジャパンによる、7NOW）
| 取得された項目の組み合わせ | 件数 |
|---|---|
| 氏名（カナ） | 164,180件 |
| 氏名（カナ）＋住所 | 4,762件 |
| 氏名（カナ）＋住所＋電話番号＋郵便番号 | 209件 |
- 一部には注文日、店舗名・住所、商品名も含まれる。クレジットカード情報、7iDのID・パスワードは含まれない。
- セブン‐イレブン側の認証情報や連携設定が流出・書き換えられた事実は確認されておらず、7NOWは通常どおり稼働している。対象者にはSMSで連絡し、個人情報保護委員会に報告済み。
事実（出前館による）
| 項目 | 件数 |
|---|---|
| 氏名 | 799件 |
| 住所（番地まで） | 794件 |
| 電話番号・郵便番号 | 33件 |
- 一部には店舗名、注文メモ、商品名、料金明細も含まれる。11月2日14時過ぎに連携を止め、不正に作成されたアカウントの無効化を確認して21時ごろに再開した。CBcloudに全容の究明と全体の点検を求めている。
事実（日本郵便による、【2026-11-07追記】）
| 項目 | 内容 |
|---|---|
| 対象期間 | 2025年12月〜2026年3月、および2026年9月にCBcloudが集荷・配達した一部 |
| 漏えい情報 | 氏名（姓名）1,672件、氏名（姓のみ）2,091件 |
| 含まれないもの | 住所、電話番号などその他の顧客情報 |
| 二次被害 | 未確認 |
| 対応 | 対象者へ個別連絡（準備整い次第）、個人情報保護委員会へ報告済み |
出典：日本郵便
考察
- 取得されたのは配送のために委託先へ渡した届け先情報で、元のサービス（7NOW・出前館）のシステムが侵入されたわけではない。委託元が配送のために渡すデータの範囲が、そのまま被害範囲になった例と言える。
- 7NOWの件数は「氏名（カナ）のみ」が大半で、住所や電話番号まで含むものは一部にとどまる。ただしCBcloud側の発表は荷主ごとの件数を示しておらず、他の荷主の影響はまだわからない。
関係しそうな既知の手口
事実
- 出前館は、CBcloudのシステム上で「不正に作成されたアカウント」の無効化を確認したと書いている（出前館）。CBcloudは「不具合」を悪用されたとしているが、内容は公表していない。
考察
- 法人向けサービスのアカウント登録や、アカウントごとに見られる発注情報の範囲の確認が不十分だった可能性が考えられる。ただし推測で、公式の説明を待つ必要がある。
利用者・運用者がいまできること
- 7NOW・出前館の利用者：両社からのSMS・メールの案内を確認する。届け先情報を使った不審な連絡（配送を装うSMSなど）に注意する。
- ピックゴーを使う法人：自社の発注情報が含まれるかCBcloudに確認し、集荷先・届け先の関係者への連絡を検討する。
- 配送を外部に委託する事業者：委託先に渡す顧客情報が最小限か、委託先のアカウント管理と権限の確認がどうなっているかを点検する。