Signal
📡 Signal｜7NOW の注文者名16万件超、配達委託先ピックゴー経由で流出
セブン-イレブンの7NOW で、配達を委託する CBcloud のピックゴーが不正アクセスを受け、注文者の名前16万4,180件などが取得された。一部は注文日や商品名も。
セブン-イレブン・ジャパンは11月3日、デリバリーサービス「7NOW」の注文者 (届け先) の名前16万4,180件などが外部に取得されたと公表した。配達業務の一部を委託している CBcloud の配送マッチングサービス「ピックゴー」が不正アクセスを受け、そこから 7NOW の顧客情報が抜かれた。
このところ国内で相次ぐ委託先経由の流出は、メール配信サービス (アララ) の名簿が中心だった (アララの第2報を伝えた記事)。今回の入口は配達の現場で、渡っていたのは「誰に、どこへ、何を届けるか」の情報だった。
取得された情報の内訳
セブン-イレブンの公表によると、CBcloud の調査で第三者の取得が確認された情報は次のとおり。
- 注文者 (届け先) の名前 (カナ): 16万4,180件
- 名前 (カナ) と住所: 4,762件
- 名前 (カナ)、住所、電話番号、郵便番号: 209件
一部では、注文日、注文した店舗の名前と住所、注文した商品の名前も取得されている。クレジットカードの情報や ID・パスワードは漏えいしていない。セブン-イレブン側の認証情報や連携設定の流出・書き換えは確認されておらず、7NOW は通常どおり動いている。
経緯は2日で動いた。11月1日に、ピックゴーが不正アクセスを受けたことが CBcloud の調査で分かり、3日に 7NOW の顧客情報の一部も取得されていたことが判明して、セブン-イレブンに連絡が入った。セブン-イレブンは同じ3日に公表し、個人情報保護委員会へは報告済みとしている。
名前の大半はカナだけ、ただし注文の中身が付く
件数の大半はカナの名前だけで、住所まで含むものは4,762件、電話番号まで揃うものは209件にとどまる。単独では個人を特定しにくい情報が多い。
一方で、注文日・店舗・商品名が一部に付いている。いつ、どの店で、何を頼んだかが分かる情報は、「ご注文についての確認」を装った連絡に使いやすい。セブン-イレブンは対象の顧客に、登録された電話番号へショートメッセージで順に連絡するとしている。正規の連絡も SMS で届くので、受け取る側には、本文のリンクを開かずに 7NOW の窓口 (0120-711-099) で確かめる手間が要る。
配達の委託先が持つ情報
ピックゴーは、配送を頼みたい企業と登録ドライバーをつなぐ CBcloud の配送サービスだ。7NOW の配達の一部をこの網に任せる以上、届け先の名前と住所は配達に必要な情報として委託先へ渡る。メール配信の委託と違い、ここで渡す情報は業務そのものに要るもので、削れる範囲は小さい。
CBcloud は、不正アクセス元からの通信を遮断し、不正に使われたアカウントを止め、悪用された不具合を直した。あわせて一部の機能と日本国外からのアクセスを制限している。どの不具合が使われたのか、ピックゴーを使う他の荷主の情報に影響があるのかは、今回の公表では分からない。
次に見るもの
確認先は CBcloud の公式サイトのお知らせで、ピックゴーへの不正アクセスについて、悪用された不具合の中身と、7NOW 以外の荷主への影響の有無を示すかどうか。7NOW の対象者への SMS の連絡は、セブン-イレブンの公表ページ (重要なお知らせ) の更新とあわせて確かめられる。
ことば
- 7NOW — セブン-イレブン・ジャパンのデリバリーサービス。アプリやサイトで注文した商品を、近くの店舗から自宅などへ届ける。配達の一部を外部の配送サービスに委託している。
- ピックゴー — CBcloud が運営する配送のマッチングサービス。配送を頼みたい企業が、登録したドライバーの網から条件に合う人を選んで依頼できる。今回はこのサービスへの不正アクセスが入口になった。
🔗 一次ソース