モバイルオーダー基盤「PICKS」への不正アクセス、サーティワン最大8,174名・SUBWAY7名・DEAN & DELUCA3名に波及。共通基盤の被害は、預けたデータの量で決まる

まず初めに

同じ攻撃を受けて、被害の桁が3つも4つも違う。最大8,174名と、7名と、3名である。攻撃者が特別に誰かを狙い分けたわけではない。違いを生んだのは、各ブランドが共通基盤の上にどれだけの顧客データを置いていたか、ただそれだけだ。モバイルオーダーのような共通基盤は、導入すれば自前で作らずに済む便利な仕組みだが、その請求書は平時には届かない。事故の日にまとめて届く。今回の3社の数字の並びは、その請求書の明細として、実に分かりやすい標本になったと思う。

※個人の感想です

共通の経緯

各社の発表を合わせると、経緯は次のとおりです。2026年10月27日12時30分頃、DIRIGIOにおいて、外部からシステムAPIへの不正アクセスが検知されました。被害の拡大を防ぐため、同日15時をもって、モバイルオーダーに関するすべてのサービスが緊急停止され、不正なアクセス経路の遮断などの応急措置が実施されました。

その後、この基盤を利用する各ブランドが、それぞれ自社の利用者への影響を公表しました。以下、ブランドごとに整理します。

サーティワン——最大8,174名、注文9,799件

B-R サーティワン アイスクリームは2026年10月28日、「31モバイルオーダー」における情報漏えいを発表しました。DIRIGIOから10月27日に報告を受け、その後の調査で、同サービスで管理されていた顧客の個人情報の一部が漏洩したことが確認された、としています。

対象は、注文情報9,799件、利用者最大8,174名、対象店舗190店です。取得された可能性のある情報は、メールアドレス、電話番号、氏名、31Club会員IDで、うち1名については配送先住所も含まれます。クレジットカード情報とパスワードは漏洩対象に含まれていないことを確認した、としています。同社は個人情報保護委員会へ報告済みで、対象者には順次案内するとしています。なお、「31モバイルオーダー」は会員アプリ「31Club」とは別のシステムであり、この点も明記されました。

SUBWAY——7名、10月29日に再開へ

SUBWAYを運営するWATAMI FAST CASUAL MANAGEMENTは2026年10月28日に発表し、10月29日に更新しました。対象は3店舗、注文7件、7名です。流出した可能性のある情報は、氏名、メールアドレス、電話番号、生年月日、性別と、注文内容（商品・金額・日時・状態）です。決済は外部の決済代行会社に委託しており、クレジットカード番号などのカード情報は対象に含まれず、会員IDや配送先情報も対象に含まれていないことを確認した、としています。現時点で、決済情報の流出や金銭的被害は確認されていない、とのことです。

続報として同社は10月29日、委託先のDIRIGIOにおいて不正アクセスの原因となった箇所への対策が講じられ、外部の診断ツールを用いたシステムの脆弱性診断と、対応が必要と判断した箇所への対策が実施されたとして、同日から順次「SUBWAY公式モバイルオーダー」の注文受付を再開すると発表しました。再開後も委託先と連携して監視を継続する、としています。3ブランドの中で、復旧まで進んだのは現時点でSUBWAYだけです。

DEAN & DELUCA——3名、発表当日に個別連絡まで完了

株式会社ウェルカムは2026年10月27日、「DEAN & DELUCA モバイルオーダーサービス」（LINEミニアプリ）における個人情報の漏洩を発表しました。対象は注文データ4件、3名（うち1件はゲスト注文）です。漏洩した情報は、氏名、メールアドレス、会員IDと、注文情報（商品・金額・日時・状態）です。クレジットカード情報とパスワードは漏洩対象に含まれていないことを確認した、としています。同サービスはオンラインストアとは別のシステムである点も明記されました。

同社は、対象となった3名には順次案内するとし、追記として、27日21時頃に3名全員へメールで連絡を差し上げた、と公表しています。発表と同じ日のうちに、対象者への個別連絡まで完了した形です。

初心者が知っておくべきこと

Q. 自分が対象かどうかは、どうすれば分かりますか。

A. 各ブランドとも、対象者には個別に案内するとしています。サーティワンは対象者に順次案内、SUBWAYは対象の7名が特定されておりメールなどで順次案内、DEAN & DELUCAは3名全員への連絡が完了したと公表しています。いずれのサービスでも、ブランドを装った不審なメールやSMSに注意し、記載されたURLへアクセスしないことが案内されています。

Q. クレジットカードの情報は大丈夫ですか。

A. 3ブランドとも、クレジットカード情報は今回の対象に含まれていない、と発表しています。SUBWAYについては、決済処理を外部の決済代行会社に委託しているため、カード情報そのものをモバイルオーダーのシステム側で扱っていない、という説明です。

Q. モバイルオーダーは使えるようになりましたか。

A. SUBWAYは2026年10月29日から順次、注文受付を再開しました。サーティワンの「31モバイルオーダー」については、本記事の公開時点で再開の公式発表は確認できていません。最新の状況は各ブランドの公式サイトで確認してください。

IT Postの見方——被害の桁を決めたのは、攻撃者ではなく設計

IT Postでは、今回の3社の数字の差は、そのまま「共通基盤にどれだけの情報を持たせていたか」の差だと考えます。不正アクセスの入口は1か所でも、出ていく情報の量は各社の使い方で決まります。注文に必要な最小限の情報だけを基盤に置く設計と、会員IDや生年月日まで含めて預ける設計とでは、同じ事故でも被害が桁違いになる。その実例が、最大8,174名と7名と3名という並びです。

もう一つ目を向けるべきは、復旧の順序です。最初に再開したのは、対象が最も小さかったSUBWAYでした。影響範囲の特定が速いほど、対策と診断の範囲も絞り込めます。被害の小ささは、そのまま復旧の速さにもつながる。共通基盤を使うこと自体は間違いではありません。問われるのは、基盤に何を置き、何を置かないかという、各ブランド側の線引きのほうだと思います。

※個人の感想です

今後どうなりそうか

サーティワンの「31モバイルオーダー」の再開時期と、DIRIGIO側の原因究明の結果が次の確認点です。SUBWAY以外のブランドからも再開や続報が出る可能性があります。

IT Postでは、再開や原因に関する続報が公表された場合は本記事を更新します。