PICKS不正アクセスの続報SUBWAY7人と全体8312人を分ける

資料で確認できること

10月27日に検知・停止、28日に公表、29日に順次再開

公式発表では、2026年10月27日12時30分頃、モバイルオーダーシステムPICKSの運営会社DIRIGIOがシステムAPIへの不正アクセスを検知しました。同日15時にモバイルオーダーを緊急停止し、アクセス経路を遮断しました。

WATAMI FAST CASUAL MANAGEMENTは28日に公表し、29日に注文受付の順次再開を追記しました。DIRIGIOは30日、API経由の侵入と外部への持ち出し、PICKS全体の範囲、脆弱性修正、全利用者のログアウト、29日10時からの順次再開を公表しました。

• 資料 01WATAMI FAST CASUAL MANAGEMENT株式会社：SUBWAY公式モバイルオーダーにおける不正アクセスによる個人情報流出に関するお詫びとお知らせ
• 資料 02株式会社DIRIGIO：モバイルオーダーサービス『PICKS』への不正アクセスによる個人情報漏えいに関するお知らせとお詫び（サービス再開のお知らせ）

当事者の説明

提供元はPICKS全体で8312人・9992注文の漏えいを確認

DIRIGIOが10月30日に示した全体範囲は、対象注文9,992件、重複を除く対象者8,312人です。会員登録をせずに注文した人も含まれ、PICKSそのものと、PICKSを導入した飲食店のモバイルオーダーが対象です。

提供元は『外部に漏えいしたことが判明』と説明しています。SUBWAYの発表が示した3店舗・7人は一つの導入事業者が確認した範囲であり、PICKS全体の8,312人とは集計の層が異なります。

• 資料 02株式会社DIRIGIO：モバイルオーダーサービス『PICKS』への不正アクセスによる個人情報漏えいに関するお知らせとお詫び（サービス再開のお知らせ）

当事者の説明

対象は3店舗、注文7件・7人

発表が示す対象範囲は3店舗、対象注文7件、対象者7人です。対象者は個別に特定され、メールなどで順次案内するとしています。

7件は対象注文の件数、7人は対象者の人数、3店舗は対象店舗数です。全国のSUBWAY店舗数や全注文数、PICKS全体の導入店舗数、金銭被害の件数へ置き換えることはできません。

• 資料 01WATAMI FAST CASUAL MANAGEMENT株式会社：SUBWAY公式モバイルオーダーにおける不正アクセスによる個人情報流出に関するお詫びとお知らせ
• 資料 02株式会社DIRIGIO：モバイルオーダーサービス『PICKS』への不正アクセスによる個人情報漏えいに関するお知らせとお詫び（サービス再開のお知らせ）

当事者の説明

氏名・連絡先等と注文内容が流出した可能性

流出した可能性がある顧客情報は、氏名、メールアドレス、電話番号、生年月日、性別です。注文情報は、商品・金額・日時・状態とされています。

提供元の全体発表では、氏名とメールアドレスに加え、一部利用者について電話番号、生年月日、性別、会員ID、住所、注文内容、注文メモの漏えいを確認したとしています。利用サービス・店舗や登録内容で項目は異なるため、全員に全項目が含まれたとは限りません。

• 資料 01WATAMI FAST CASUAL MANAGEMENT株式会社：SUBWAY公式モバイルオーダーにおける不正アクセスによる個人情報流出に関するお詫びとお知らせ
• 資料 02株式会社DIRIGIO：モバイルオーダーサービス『PICKS』への不正アクセスによる個人情報漏えいに関するお知らせとお詫び（サービス再開のお知らせ）

当事者の説明

カード情報、会員ID、配送先情報は対象外

決済処理は外部の決済代行会社に委託され、クレジットカード番号などのカード情報は今回の対象に含まれないと説明されています。公表時点で金銭的被害も確認していないとしています。

SUBWAYの7人については会員IDと配送先情報も対象外と説明されました。一方、PICKS全体では一部利用者の会員IDと住所が対象です。SUBWAYの対象外項目と、ほかの導入先を含む全体の漏えい項目を混同しません。

• 資料 01WATAMI FAST CASUAL MANAGEMENT株式会社：SUBWAY公式モバイルオーダーにおける不正アクセスによる個人情報流出に関するお詫びとお知らせ
• 資料 02株式会社DIRIGIO：モバイルオーダーサービス『PICKS』への不正アクセスによる個人情報漏えいに関するお知らせとお詫び（サービス再開のお知らせ）

未確認の点

侵入手法、対象項目の個別範囲、二次利用は未確定

2026年11月1日の確認時点で、APIへの侵入に使われた具体的な手法、対象者ごとの漏えい項目、導入事業者・店舗ごとの内訳、SUBWAYの7人がPICKS全体のどの集計に入るか、個別通知の完了時期、持ち出された情報の二次利用は公開資料だけでは確定できません。

提供元はカード番号を保持しておらず、ログインパスワードの漏えいと、本件に起因する不正利用などの二次被害を確認していないとしています。確認されていない範囲を、漏えい自体がなかったという意味には置き換えません。

• 資料 01WATAMI FAST CASUAL MANAGEMENT株式会社：SUBWAY公式モバイルオーダーにおける不正アクセスによる個人情報流出に関するお詫びとお知らせ
• 資料 02株式会社DIRIGIO：モバイルオーダーサービス『PICKS』への不正アクセスによる個人情報漏えいに関するお知らせとお詫び（サービス再開のお知らせ）

確認の範囲

このコラムの確認範囲

本稿は2026年11月1日に、SUBWAY公式サイトの10月28日付・29日更新の発表と、DIRIGIOの10月30日付発表を確認して更新しました。JBJは運営会社、システム提供元、対象者、店舗、決済代行会社、関係当局へ直接取材しておらず、システム、ログ、注文情報、個別通知を独立に確認していません。掲載画像は影響範囲を整理する説明用イメージで、実際の職員・利用者・店舗・商品・設備・画面・注文・被害記録ではありません。

• 資料 01WATAMI FAST CASUAL MANAGEMENT株式会社：SUBWAY公式モバイルオーダーにおける不正アクセスによる個人情報流出に関するお詫びとお知らせ
• 資料 02株式会社DIRIGIO：モバイルオーダーサービス『PICKS』への不正アクセスによる個人情報漏えいに関するお知らせとお詫び（サービス再開のお知らせ）

JBJの見解

7人への影響を軽く扱わず、提供元の全体像も確認する

対象が7人でも、氏名や連絡先、注文内容が流出した可能性は、個別通知と原因究明、再発防止が必要な事案です。会社とシステム提供元には、対象者への説明、調査結果、再開後の監視を継続して示す責任があります。

一方、10月30日の提供元発表で、PICKS全体では8,312人・注文9,992件の漏えいが確認されました。SUBWAYの7人とPICKS全体の8,312人を別事件の人数として足さず、店舗別の確認範囲と共通基盤の全体範囲を分けます。

JBJの見解

利用店舗、注文日時、通知、不審な連絡を整理する

利用者は、モバイルオーダーを使った店舗、注文日時、注文内容、会社から届いた案内、公式発表のURLと確認日時、不審な電話・SMS・メールを分けて保存してください。認証情報や注文の詳細を公開投稿へ載せないでください。

不審な連絡ではリンクや添付を開かず、自分で公式サイトを開いて問い合わせ先を確認します。金銭やアカウントの被害が疑われる場合は、関係事業者、金融機関、警察などの公式窓口へ先に連絡します。

• 資料 01WATAMI FAST CASUAL MANAGEMENT株式会社：SUBWAY公式モバイルオーダーにおける不正アクセスによる個人情報流出に関するお詫びとお知らせ
• 資料 02株式会社DIRIGIO：モバイルオーダーサービス『PICKS』への不正アクセスによる個人情報漏えいに関するお知らせとお詫び（サービス再開のお知らせ）