--- title: "モバイルオーダー基盤「PICKS」への不正アクセス、サーティワン最大8,174名・SUBWAY7名・DEAN & DELUCA3名に波及。共通基盤の被害は、預けたデータの量で決まる" description: "モバイルオーダーシステム「PICKS」を提供するDIRIGIOのシステムAPIへの不正アクセスが、サーティワン、SUBWAY、DEAN & DELUCAの3ブランドに波及した。最大8,174名から7名、3名まで、ブランドごとに桁違いの規模差が出た理由と、SUBWAYが2026年10月29日に注文受付を再開した続報までを、3社の公式発表から整理する" url: https://itpostjp.com/security/dirigio-picks-mobile-order-cross-brand-leak/ category: "セキュリティ" published_at: 2026-10-29T08:47:00Z updated_at: 2026-10-29T08:47:00Z author: "IT Post編集部" editor: "編集長 千田智也" publisher: "IT Post by Rice Studio Lab" language: ja-JP ai_generated: true ai_model: muse-wonder terms: ["API（エーピーアイ）", "サプライチェーン攻撃"] --- # モバイルオーダー基盤「PICKS」への不正アクセス、サーティワン最大8,174名・SUBWAY7名・DEAN & DELUCA3名に波及。共通基盤の被害は、預けたデータの量で決まる IT Post編集部 ＆ 編集長 千田智也 モバイルオーダーシステム「PICKS」を提供するDIRIGIOのシステムAPIへの不正アクセスが、サーティワン、SUBWAY、DEAN & DELUCAの3ブランドに波及した。最大8,174名から7名、3名まで、ブランドごとに桁違いの規模差が出た理由と、SUBWAYが2026年10月29日に注文受付を再開した続報までを、3社の公式発表から整理する ## 30秒で分かる結論 - モバイルオーダーシステム「PICKS」を提供する株式会社DIRIGIOにおいて、2026年10月27日12時30分頃、システムAPIへの不正アクセスが検知され、同日15時にモバイルオーダーの全サービスが緊急停止されました。 - 同じ基盤を使うブランドへの波及が相次いで公表され、B-R サーティワン アイスクリームでは最大8,174名、SUBWAYでは7名、DEAN & DELUCAでは3名の個人情報が漏えい、または漏えいした可能性があります。いずれのブランドでも、クレジットカード情報は対象に含まれていません。 - SUBWAYは2026年10月29日、DIRIGIO側で原因箇所への対策と外部診断ツールによる脆弱性診断が実施されたとして、同日から順次、注文受付を再開すると発表しました。 ## まず初めに 同じ攻撃を受けて、被害の桁が3つも4つも違う。最大8,174名と、7名と、3名である。攻撃者が特別に誰かを狙い分けたわけではない。違いを生んだのは、各ブランドが共通基盤の上にどれだけの顧客データを置いていたか、ただそれだけだ。モバイルオーダーのような共通基盤は、導入すれば自前で作らずに済む便利な仕組みだが、その請求書は平時には届かない。事故の日にまとめて届く。今回の3社の数字の並びは、その請求書の明細として、実に分かりやすい標本になったと思う。 ※個人の感想です ## 共通の経緯 各社の発表を合わせると、経緯は次のとおりです。2026年10月27日12時30分頃、DIRIGIOにおいて、外部からシステムAPIへの不正アクセスが検知されました。被害の拡大を防ぐため、同日15時をもって、モバイルオーダーに関するすべてのサービスが緊急停止され、不正なアクセス経路の遮断などの応急措置が実施されました。 その後、この基盤を利用する各ブランドが、それぞれ自社の利用者への影響を公表しました。以下、ブランドごとに整理します。 ![PICKSへの不正アクセスをめぐる3ブランドの対象規模（サーティワン最大8, 174名、SUBWAY7名、DEAN & DELUCA3名）と対応状況](/images/articles/dirigio-picks-mobile-order-cross-brand-leak-inline-1.webp) ## サーティワン——最大8,174名、注文9,799件 B-R サーティワン アイスクリームは2026年10月28日、「31モバイルオーダー」における情報漏えいを発表しました。DIRIGIOから10月27日に報告を受け、その後の調査で、同サービスで管理されていた顧客の個人情報の一部が漏洩したことが確認された、としています。 対象は、注文情報9,799件、利用者最大8,174名、対象店舗190店です。取得された可能性のある情報は、メールアドレス、電話番号、氏名、31Club会員IDで、うち1名については配送先住所も含まれます。クレジットカード情報とパスワードは漏洩対象に含まれていないことを確認した、としています。同社は個人情報保護委員会へ報告済みで、対象者には順次案内するとしています。なお、「31モバイルオーダー」は会員アプリ「31Club」とは別のシステムであり、この点も明記されました。 ## SUBWAY——7名、10月29日に再開へ SUBWAYを運営するWATAMI FAST CASUAL MANAGEMENTは2026年10月28日に発表し、10月29日に更新しました。対象は3店舗、注文7件、7名です。流出した可能性のある情報は、氏名、メールアドレス、電話番号、生年月日、性別と、注文内容（商品・金額・日時・状態）です。決済は外部の決済代行会社に委託しており、クレジットカード番号などのカード情報は対象に含まれず、会員IDや配送先情報も対象に含まれていないことを確認した、としています。現時点で、決済情報の流出や金銭的被害は確認されていない、とのことです。 続報として同社は10月29日、委託先のDIRIGIOにおいて不正アクセスの原因となった箇所への対策が講じられ、外部の診断ツールを用いたシステムの脆弱性診断と、対応が必要と判断した箇所への対策が実施されたとして、同日から順次「SUBWAY公式モバイルオーダー」の注文受付を再開すると発表しました。再開後も委託先と連携して監視を継続する、としています。3ブランドの中で、復旧まで進んだのは現時点でSUBWAYだけです。 ## DEAN & DELUCA——3名、発表当日に個別連絡まで完了 株式会社ウェルカムは2026年10月27日、「DEAN & DELUCA モバイルオーダーサービス」（LINEミニアプリ）における個人情報の漏洩を発表しました。対象は注文データ4件、3名（うち1件はゲスト注文）です。漏洩した情報は、氏名、メールアドレス、会員IDと、注文情報（商品・金額・日時・状態）です。クレジットカード情報とパスワードは漏洩対象に含まれていないことを確認した、としています。同サービスはオンラインストアとは別のシステムである点も明記されました。 同社は、対象となった3名には順次案内するとし、追記として、27日21時頃に3名全員へメールで連絡を差し上げた、と公表しています。発表と同じ日のうちに、対象者への個別連絡まで完了した形です。 ## 初心者が知っておくべきこと Q. 自分が対象かどうかは、どうすれば分かりますか。 A. 各ブランドとも、対象者には個別に案内するとしています。サーティワンは対象者に順次案内、SUBWAYは対象の7名が特定されておりメールなどで順次案内、DEAN & DELUCAは3名全員への連絡が完了したと公表しています。いずれのサービスでも、ブランドを装った不審なメールやSMSに注意し、記載されたURLへアクセスしないことが案内されています。 Q. クレジットカードの情報は大丈夫ですか。 A. 3ブランドとも、クレジットカード情報は今回の対象に含まれていない、と発表しています。SUBWAYについては、決済処理を外部の決済代行会社に委託しているため、カード情報そのものをモバイルオーダーのシステム側で扱っていない、という説明です。 Q. モバイルオーダーは使えるようになりましたか。 A. SUBWAYは2026年10月29日から順次、注文受付を再開しました。サーティワンの「31モバイルオーダー」については、本記事の公開時点で再開の公式発表は確認できていません。最新の状況は各ブランドの公式サイトで確認してください。 ## IT Postの見方——被害の桁を決めたのは、攻撃者ではなく設計 IT Postでは、今回の3社の数字の差は、そのまま「共通基盤にどれだけの情報を持たせていたか」の差だと考えます。不正アクセスの入口は1か所でも、出ていく情報の量は各社の使い方で決まります。注文に必要な最小限の情報だけを基盤に置く設計と、会員IDや生年月日まで含めて預ける設計とでは、同じ事故でも被害が桁違いになる。その実例が、最大8,174名と7名と3名という並びです。 もう一つ目を向けるべきは、復旧の順序です。最初に再開したのは、対象が最も小さかったSUBWAYでした。影響範囲の特定が速いほど、対策と診断の範囲も絞り込めます。被害の小ささは、そのまま復旧の速さにもつながる。共通基盤を使うこと自体は間違いではありません。問われるのは、基盤に何を置き、何を置かないかという、各ブランド側の線引きのほうだと思います。 ※個人の感想です ## 今後どうなりそうか サーティワンの「31モバイルオーダー」の再開時期と、DIRIGIO側の原因究明の結果が次の確認点です。SUBWAY以外のブランドからも再開や続報が出る可能性があります。 IT Postでは、再開や原因に関する続報が公表された場合は本記事を更新します。 ## 情報源 「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。 - [「31モバイルオーダー」不正アクセスに伴う情報漏えいに関するお詫びとお知らせ](https://www.br31.jp/contents/topics/261028_01.html) — B-R サーティワン アイスクリーム株式会社（一次情報） - [「SUBWAY公式モバイルオーダー」における不正アクセスによる個人情報流出に関するお詫びとお知らせ](https://subway.co.jp/news/bhi2h9kf00mf/) — WATAMI FAST CASUAL MANAGEMENT株式会社（SUBWAY） - [モバイルオーダーサービスにおける個人情報漏洩に関するお詫びとお知らせ](https://www.deandeluca.co.jp/deandeluca_news/detail/59) — 株式会社ウェルカム（DEAN & DELUCA） - [サーティワン「31モバイルオーダー」で情報漏えいの可能性](https://news.yahoo.co.jp/articles/bc8a0d97d29f26b0935d35bdbf61cda519ad0fef) — Yahoo!ニュース（ORICON NEWS） ## この記事に出てくるIT用語 - [API（エーピーアイ）](https://itpostjp.com/terms/api/): 別々のソフトウェアやサービス同士が、機能やデータをやり取りするための「窓口」となる仕組みです。 - [サプライチェーン攻撃](https://itpostjp.com/terms/supply-chain-attack/): 攻撃対象を直接狙うのではなく、その対象が利用するソフトウェア部品や取引先などの供給網を経由して間接的に攻撃する手口です。 --- この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。 出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/dirigio-picks-mobile-order-cross-brand-leak/