日本脆弱性総合ポータル

WATAMI FAST CASUAL MANAGEMENT / SUBWAY公式モバイルオーダー：SUBWAY公式モバイルオーダーへの不正アクセスで顧客情報が流出した可能性

重要度
漏えいのおそれ・業務やサービスの停止・7名
公表日
2026.10.28
原因の分類
侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. SUBWAY公式モバイルオーダーのAPIに外部から不正アクセスがあった
  2. 侵入口はまだ分からず、氏名や電話番号などが流出した可能性がある
  3. SUBWAYを装った不審な連絡のURLは開かず、個人情報も入力しない

SUBWAY公式モバイルオーダーのシステム提供元が、外部からのAPIへの不正アクセスを検知し、2026年10月27日15時に全サービスを緊急停止した。対象は3店舗の注文7件（7名）で、氏名や電話番号などが流出した可能性がある。カード情報は対象外で、金銭的被害は確認されていない。

確認された経路・公表元の推定

  1. 2026年10月27日12:30頃、システム提供元（株式会社DIRIGIO）が外部からのシステムAPIへの不正アクセスを検知
  2. 同日15:00にモバイルオーダーの全サービスを緊急停止し、不正なアクセス経路の遮断などの応急措置を実施
  3. システム提供元が外部の診断ツールでシステム全体のセキュリティ診断を行い、原因究明を継続中

根拠の要点

公表元は、外部からのシステムAPIへの不正アクセスを検知し、サービス停止と応急措置を行ったと説明している。侵入経路や攻撃に使われた脆弱性は資料に示されず、原因究明は継続中とされている。

資料の基準時点：公表時点（2026年10月28日）、取得日 2026-10-29

当時、対策できたのか

判定保留

攻撃に使われた経路や脆弱性、攻撃時点の防御条件が資料にない。影響範囲の特定と原因究明は継続中とされている。

公表された対策

  • モバイルオーダーのすべてのサービスを緊急停止（2026年10月27日15時）
  • 不正なアクセス経路の遮断などの応急措置を実施
  • 外部の診断ツールを用いたシステム全体のセキュリティ診断を実施
  • システムの安全性が確認されるまでサービス停止を継続
  • 対象となる7名へ、メール等で順次お詫びと詳細な案内を送る予定
  • SUBWAYや本サービスを装った不審な連絡に注意するよう呼びかけ
  • 情報管理体制の点検・強化に取り組む

この事例を理解するための動画

まだ分からないこと

  • 侵入経路と、攻撃に使われた脆弱性や認証情報の有無
  • 攻撃の手口、アクセスされた期間や範囲の詳細
  • 個人情報が実際に流出したかどうか（現時点では流出の可能性とされている）
  • システム全体の診断と原因究明の結果（調査継続中）
  • サービスの再開時期

関連する事例

同じ原因分類の事例

事例の一覧に戻る