何が起きたか
7NOWと出前館は、配達の一部を委託するCBcloudの「ピックゴー」への不正アクセスで、注文者情報が第三者に取得されたと発表しました。11月1日に不正アクセスが判明し、7NOW分の情報取得は11月3日に確認されています。同じ配送委託先への攻撃として1件にまとめています。7NOWの発表・出前館の発表
確認された被害
7NOWは、カナ氏名164,180件、カナ氏名と住所4,762件、それらに電話番号・郵便番号を含む209件の取得を確認しました。一部には注文日、注文店舗名・店舗住所、注文商品名も含まれます。公表値は件数で、実人数とは扱いません。7NOWの取得情報
出前館は、氏名799件、住所794件、電話番号・郵便番号33件の取得を確認しました。項目ごとの件数なので合算しません。一部の注文店舗の情報、注文メモ、商品名、料金明細も取得されています。出前館の取得情報
両発表の見出しは「漏えいした可能性のある情報」ですが、本文では第三者による取得を確認したと明記しています。カード情報、ID・パスワードなどは漏えいしていないと説明しています。発表時点で本件を原因とする不正利用の被害は未確認です。7NOWの除外範囲・出前館の除外範囲
サービスの稼働と対象者への案内
7NOWは通常通り稼働しているとしています。出前館は被害拡大を防ぐため11月2日14時過ぎにCBcloudとの連携を停止し、不具合修正と通信状況の確認後、同日21時ごろに再開しました。出前館全体の注文停止と読み替えません。稼働状況・連携の停止と再開
7NOWは対象者へSMS、出前館は対象者へメールで順次連絡するとしています。出前館は同社や配送会社を装う不審な連絡、身に覚えのない請求、個人情報入力や金銭支払いの要求に応じないよう案内しています。詳細・最新の案内は公式発表で確認してください。7NOWの対象者への案内・出前館の注意喚起
時系列と分かっていないこと
11月1日にピックゴーへの不正アクセスが判明。11月2日に出前館が報告を受け、委託先との連携を一時停止しました。11月3日に両社が対象情報と案内を公表しています。攻撃開始時刻、情報項目間の重複を除いた実人数、不具合の技術的な詳細は、参照した資料では確認できません。7NOWの経緯・出前館の経緯
この事例から分かること
注文先のサービスが稼働していても、配送を委託する先の保管情報が影響を受けることがあります。どのサービスを利用し、どの情報が対象となるのかを、サービスごとの発表で確かめる必要があります。両社は委託先が不正な接続やアカウントを遮断・無効化し、不具合を修正したと説明しています。7NOWの対応・出前館の対応