7NOW利用者情報を第三者が取得3区分の件数と現在の稼働を分ける

資料で確認できること

氏名164,180件、住所を含む4,762件、電話番号等を含む209件

セブン‐イレブン・ジャパンは2026年11月3日、7NOWの一部配達業務を委託するCBcloudの「ピックゴー」が不正アクセスを受け、利用者情報の一部を第三者が取得したと公表しました。不正アクセスは11月1日、7NOW分の取得は同3日にCBcloudの調査で判明したとされています。

公表された区分は、注文者・届け先の氏名（カナ）164,180件、氏名（カナ）と住所4,762件、さらに電話番号と郵便番号を含む209件です。一部には注文日、注文店舗名・店舗住所、注文商品名も含まれます。カード情報、ID、パスワードなどは対象外と説明されています。

• 資料 01株式会社セブン‐イレブン・ジャパン：当社デリバリーサービス『7NOW』の委託先への不正アクセスに伴う、お客様情報の漏えいについてのお知らせとお詫び

当事者の説明

委託先は通信遮断、アカウント停止、不具合修正を実施

CBcloudは不正アクセス確認後、不正アクセス元からの通信を遮断し、不正に利用されたアカウントを停止し、悪用された不具合を修正しました。対策の一環として一部機能と日本国外からのアクセスを制限しています。セブン‐イレブン・ジャパンは個人情報保護委員会へ報告済みとしています。

CBcloudの11月2日付初報は、法人向けピックゴーで個人情報を含む情報の一部が外部流出した可能性を示し、範囲と件数は調査中としていました。翌3日の委託元発表では7NOW分について第三者取得が確認されたため、初報の「可能性」と後続の確認済み情報を分けて読む必要があります。

• 資料 01株式会社セブン‐イレブン・ジャパン：当社デリバリーサービス『7NOW』の委託先への不正アクセスに伴う、お客様情報の漏えいについてのお知らせとお詫び
• 資料 02CBcloud株式会社：『ピックゴー』への不正アクセス及び個人情報流出の可能性について（第1報）

当事者の説明

7NOWは通常稼働し、対象者へ登録電話番号宛てにSMSで連絡

CBcloudの調査では、セブン‐イレブン・ジャパンの認証情報や連携設定の流出・書き換えは確認されておらず、7NOWは11月3日時点で通常どおり稼働していると説明されています。情報取得の事実と、現在の注文サービスの状態を混同しないことが重要です。

対象者には登録した電話番号宛てにSMSで順次連絡するとしています。氏名、住所、注文商品名などを知る者から連絡が来ても、それだけで正規の通知とは判断できません。メッセージ内のURLや電話番号を使わず、公式発表ページに掲載された窓口と内容を照合する必要があります。

• 資料 01株式会社セブン‐イレブン・ジャパン：当社デリバリーサービス『7NOW』の委託先への不正アクセスに伴う、お客様情報の漏えいについてのお知らせとお詫び

未確認の点

3区分の重複、実人数、対象期間、取得経路の詳細は未公表

2026年11月4日の確認時点で、3区分の件数に同一注文者や届け先の重複があるか、重複を除く対象人数、対象となる注文期間、取得された注文情報の範囲は公表資料だけでは確定できません。区分別件数の単純合計を、異なる169,151人の被害と読み替えることはできません。

発表時点で本件を原因とする不正利用被害は確認されていないとされていますが、将来の被害がないという保証ではありません。一方、7NOW全体や店舗システムへの侵入、全利用者のカード情報・パスワード流出を示す資料もありません。原因の全容や恒久対策は続報で確認する必要があります。

• 資料 01株式会社セブン‐イレブン・ジャパン：当社デリバリーサービス『7NOW』の委託先への不正アクセスに伴う、お客様情報の漏えいについてのお知らせとお詫び
• 資料 02CBcloud株式会社：『ピックゴー』への不正アクセス及び個人情報流出の可能性について（第1報）

確認の範囲

このコラムの確認範囲

本稿は2026年11月4日に、セブン‐イレブン・ジャパンの11月3日付発表、CBcloudの11月2日付初報、IPAの10月26日付案内を確認しました。JBJは各社、利用者、店舗、配達員、調査機関、関係当局へ直接取材しておらず、サーバー、ログ、対象情報、通知、不正利用を独立に確認していません。掲載画像は説明用イメージです。

• 資料 01株式会社セブン‐イレブン・ジャパン：当社デリバリーサービス『7NOW』の委託先への不正アクセスに伴う、お客様情報の漏えいについてのお知らせとお詫び
• 資料 02CBcloud株式会社：『ピックゴー』への不正アクセス及び個人情報流出の可能性について（第1報）
• 資料 03独立行政法人情報処理推進機構：自分の個人情報等が漏えいした際の『対処』と『日頃の対策』

JBJの見解

届け先と注文情報の組み合わせを前提に、通知を具体化する必要

届け先の氏名・住所と注文日、店舗、商品が組み合わさると、実際の配達を知る者らしい不審な連絡に使われるおそれがあります。会社には、対象者ごとの項目と注文期間、通知の完了状況、委託先に渡す情報を必要最小限にする対策を、利用者が追える形で更新することが求められます。

配達委託先で起きた事案でも、利用者にサービスを提供した会社の説明責任はなくなりません。同時に、正当な説明要求と、店舗や配達員が関与したと根拠なく断定すること、注文者・届け先を特定しようとする投稿は分ける必要があります。無関係な個人への攻撃は事実確認を遠ざけます。

• 資料 01株式会社セブン‐イレブン・ジャパン：当社デリバリーサービス『7NOW』の委託先への不正アクセスに伴う、お客様情報の漏えいについてのお知らせとお詫び
• 資料 03独立行政法人情報処理推進機構：自分の個人情報等が漏えいした際の『対処』と『日頃の対策』

JBJの見解

注文履歴、公式SMS、不審な連絡を時系列で整理する

7NOWを利用した方は、注文日、注文店舗、届け先、登録電話番号、会社から届いたSMS、公式発表のURLと確認日時を整理してください。不審な連絡は、日時、送信元、相手が示した注文情報、要求内容を保存し、公式サイトから窓口を確認します。認証コードやカード番号は相手に伝えません。

IPAは、氏名、住所、電話番号、メールアドレスの漏えい後には、偽メールやSMS、詐欺電話、不審な郵便物に注意し、リンクを開かず正規サイトから真偽を確認するよう案内しています。金銭やアカウントの被害が疑われる場合は、金融機関や警察などの公式窓口への連絡も記録します。

• 資料 01株式会社セブン‐イレブン・ジャパン：当社デリバリーサービス『7NOW』の委託先への不正アクセスに伴う、お客様情報の漏えいについてのお知らせとお詫び
• 資料 03独立行政法人情報処理推進機構：自分の個人情報等が漏えいした際の『対処』と『日頃の対策』