日本脆弱性総合ポータル

DIRIGIO / PICKS：PICKSのシステムへの不正アクセスで個人情報が外部に漏えい

重要度
業務やサービスの停止・9,992件（対象注文）
公表日
2026.10.30
原因の分類
自社実装の脆弱性
対策可能性
判定保留

この記事の3行まとめ

  1. PICKSの顧客情報を管理するシステムに第三者が侵入し、個人情報が外部に漏えいした。
  2. 当社APIを経由して侵入され、氏名などが持ち出された。
  3. クレジットカード番号は漏えいせず、当社を装う不審な連絡に注意が必要。

モバイルオーダーサービスPICKSの顧客情報を管理するシステムに第三者が侵入し、個人情報が外部に持ち出された。当社APIを経由して侵入され、氏名やメールアドレスなどが漏えいした。対象は8,312人（重複を除く）、注文9,992件である。クレジットカード番号は保持しておらず、漏えいはない。サービスは2026年10月27日に停止し、10月29日から順次再開した。

確認された経路・公表元の推定

  1. 2026年10月27日12時30分頃、PICKSの顧客情報システムへの不正アクセスの可能性を確認
  2. 第三者が当社APIを経由してシステムに侵入し、お客様情報を外部に持ち出した
  3. 同日15時、被害の拡大を防ぐためPICKSの全サービスを停止
  4. サービス停止中に脆弱性の修正を行い、全お客様をログアウトさせて認証情報を更新した
  5. 10月29日10時から順次サービスを再開し、再開後は全お客様に再ログインを求めている
  6. 漏えいが確認されたお客様へ個別に連絡し、個人情報保護委員会へ報告し、警察に相談した

根拠の要点

資料は、第三者が当社APIを経由してシステムに不正に侵入し、お客様情報を外部に持ち出していたことが判明したと説明する。APIは当社のシステムであり、侵入後に脆弱性の修正を行ったとされるが、脆弱性の具体的な内容は書かれていない。

資料の基準時点：2026年10月30日公表、取得日2026-10-31時点の資料

当時、対策できたのか

判定保留

資料は「脆弱性の修正」を行ったと述べるが、侵入に使われた脆弱性の内容や、攻撃時点で修正済みだったかは書かれていない。

公表された対策

  • サービスを停止し、脆弱性の修正を行った
  • 全お客様をログアウトさせ、認証情報を更新した
  • 再開後は全お客様に再ログインを求めている
  • システムの脆弱性対策と不正アクセスの監視体制を強化する
  • 漏えいが確認されたお客様へ当社または導入事業者から個別に連絡した

この事例を理解するための動画

まだ分からないこと

  • 侵入に使われた脆弱性の具体的な内容と発生箇所
  • 侵入の具体的な日時と攻撃者の手口
  • 漏えい対象の範囲は現時点で確認できている範囲に限られること
  • 恒久対策の具体的な内容と、各種調査の結果

関連する事例

同じ原因分類の事例

事例の一覧に戻る