适用对象：收到过 7NOW 配送的人（作为收货人），以及将配送外包出去的服务的运营者。本文解读 Seven-Eleven Japan Co., Ltd. 的官方公告，不涉及攻击手法。
事态发展中：本文将随机构发布更多信息而更新
- 适用对象
收到过 7NOW 配送的人（作为收货人），以及将配送外包出去的服务的运营者。本文解读 Seven-Eleven Japan Co., Ltd. 的官方公告，不涉及攻击手法。
- 已确认的影响范围查看表格 ↓
- 第三方对配送委托方的未经授权访问
- 7NOW 下单人数据被窃取
- 仅姓名（片假名）
另外4项
- 姓名（片假名）和住址
- 姓名（片假名）、住址、电话号码、邮政编码
- 下单日期、门店名称和地址、商品名称
- 个别联系
- 尚未确认的事项
- 原因和入侵途径的详情
- 未经授权访问的时间段
- 是否发生滥用或二次危害
另外2项
- 涵盖哪些订单以及三组数量的关系
- 预防措施的状况
- 现在要做的事查看步骤 ↓
- 不要理会自称来自 7NOW 或配送方的电话、短信或邮件中的链接或指示
- 如果收到公司发来的短信，请与官方公告页面对照
- 密码和卡：公告没有要求更改
另外2项
- 不要把密码、卡号或 PIN 告诉联系您的人
- 在一段时间内对陌生的电话和短信保持警惕
- 核实来源（出处）全部来源 ↓
- Seven-Eleven Japan (SEJ) Co., Ltd.，关于配送委托方遭未经授权访问导致 7NOW 客户信息泄露的公告（日文，2026年11月3日）— sej.co.jp
- 最后核实
- 截至2026年11月5日
续报计划与核实记录
公司11月3日的公告没有给出后续报告的时间表。委托方称，如有必须披露的新情况，将在其自己的网站上公布。我们于11月5日查看了公司的公告和委托方的公告，未发现比11月3日更新的、关于此事件的后续信息。
7NOW 用户今天应该做什么
被窃取：姓名（片假名）/ 部分有住址、电话、邮政编码
可能被用来编造以收货人为对象、看起来很真实的电话、短信和邮件
被窃取：部分有下单日期、门店名称和地址、商品名称
可能被用来编造似乎知道您订单的消息，例如“关于您最近的订单”
未包含：信用卡信息、ID 和密码（公司）
也未发现公司的凭据或集成设置被泄露或篡改
不要理会自称来自 7NOW 或配送方的电话、短信或邮件中的链接或指示
被窃取的项目包括姓名（片假名），部分记录还有住址、电话号码、邮政编码、门店名称和商品名称。有了这些，发给您的消息就可能看似知道您的订单。一般而言，围绕包裹或订单的假冒联系被广泛使用。
如果您收到关于“订单确认”“重新配送安排”或“退款手续”的消息，请不要打开其中的链接。请自己打开浏览器，在官方网站上核实。假冒短信（短信钓鱼）的做法也一样（参见什么是网络钓鱼？）。
如果收到公司发来的短信，请与官方公告页面对照
公司称正陆续通过短信发送至其注册的电话号码来联系受影响的客户。公告没有说明该短信是否含有 URL，也没有说明发件人如何显示，我们也未能确认这一点。
所以，即使收到了短信，也不要打开其中的链接。请先核实它与公告（见参考来源）一致。您也可以使用公告中列出的 7NOW 咨询热线（0120-711-099，日本时间 9:00-21:00）。请从公司官方公告中获取号码，而不要使用短信中的号码。
密码和卡：公告没有要求更改
公司称信用卡信息以及 ID 和密码均未泄露，并称委托方的调查未发现其自身凭据或集成设置被泄露或篡改。公告没有要求更改密码或卡。
本站的看法：由于被窃取的项目不包括密码，您现在无需更改 7NOW 密码。如果您重复使用密码，那么无论是否发生此事件，检查一下都是好习惯（如何选择密码管理器）。
不要把密码、卡号或 PIN 告诉联系您的人
如果来电者能正确说出您的姓名、住址或所订商品，并不能证明该联系是真的，因为这恰恰是被窃取的信息。如果被要求提供密码、卡号或通过短信收到的验证码，请将其视为假冒。
在一段时间内对陌生的电话和短信保持警惕
与邮箱地址不同，电话号码和住址很难更改。一般而言，被窃取的电话号码可能招来诈骗电话和短信，包括与 7NOW 无关的那些（本站的看法）。开启手机的骚扰电话和垃圾短信过滤功能，可以减少收到的数量（智能手机安全基础）。
发生了什么（依据 Seven-Eleven Japan 的公告）
Seven-Eleven Japan Co., Ltd. 于2026年11月3日在其官方网站上发布了公告（日文标题：关于其配送服务 7NOW 的委托方遭未经授权访问导致客户信息泄露的致歉与通知）。除非另有说明，以下内容均基于该公告。
2026年11月1日（周日）
公司写道，委托方的调查发现，该委托方为 7NOW 部分配送所运营的服务遭第三方未经授权访问。11月3日（周二）
委托方的调查发现，部分 7NOW 下单人数据也被窃取，并通知了公司。公司当天发布公告，并称已向个人信息保护委员会报告。应对（未给出日期）
据公司的公告，委托方切断了来自访问源的通信，暂停了被滥用的账户，修复了被利用的缺陷，并限制了部分功能和来自日本境外的访问。截至11月5日
我们未发现后续信息。受影响的客户正陆续通过短信发送至其注册的电话号码而收到联系。
- 已确认被窃取的数据
- 下单人（收货人）仅姓名（片假名）164,180 条记录 / 姓名（片假名）和住址 4,762 条 / 姓名（片假名）、住址、电话号码和邮政编码 209 条。部分记录还有下单日期、门店名称和地址、商品名称
- 不包含
- 信用卡信息、ID 和密码。委托方的调查也未发现公司的凭据或集成设置被泄露或篡改
- 服务状态
- 7NOW 正常运营
- 危害
- 截至目前，尚未确认此事件造成的滥用
- 联系客户
- 正陆续通过短信发送至其注册的电话号码来联系受影响的客户
- 向主管机构报告
- 已向个人信息保护委员会报告
- 咨询
- 7NOW 咨询热线（0120-711-099，日本时间 9:00-21:00）。公告中还列出了委托方的联系方式
委托方在自己网站上公布的内容
配送委托方 CBcloud Inc. 已在其自己的网站上就其服务“PickGo”发布了第一次和第二次报告（见参考来源）。以下基于这两份公告。
- 第一次报告：其于2026年11月1日确认了第三方的未经授权访问。它切断了来自访问源的通信，暂停了被滥用的账户，修复了被利用的缺陷，并限制了部分功能和来自日本境外的访问。它称已确认没有恶意软件或病毒感染
- 第二次报告：它称已确定可能泄露的信息范围：公司名称、注册联系人姓名、注册地址、电话号码和邮箱地址、订单信息（取货点和送货点的名称和地址等），以及处理订单的司机的信息。它称这是可能的最大范围，且范围因客户企业而异。它称银行账户和卡号等支付信息未被窃取，登录密码也不在其中
- 针对 7NOW 确认的具体项目和数量，以 Seven-Eleven Japan 的公告为准。委托方的公告没有给出各客户企业的数量
同一委托方旗下另一服务的另行公告
Demae-can Co., Ltd. 也于2026年11月3日发布了自己的公告（见参考来源）。据此，同一委托方的服务遭未经授权访问，Demae-can 配送案件中的部分客户数据被窃取。已确认的数量为下单人（收货人）姓名 799 条、住址 794 条、电话号码和邮政编码 33 条，并称将通过邮件联系受影响的客户。这些数量来自另行公告，不与 7NOW 的数量相加。如果您用过 Demae-can，请查看 Demae-can 的公告。
已知与未知的内容
截至2026年11月5日的状态。出现后续信息时，我们将改写状态栏。
| 项目 | 公告所述 | 状态 |
|---|---|---|
| 第三方对配送委托方的未经授权访问 | 2026年11月1日发现（委托方的调查） | 已确认（公司） |
| 7NOW 下单人数据被窃取 | 11月3日发现。确认被窃取 | 已确认泄露（公司） |
| 仅姓名（片假名） | 164,180 条记录 | 已确认泄露（公司） |
| 姓名（片假名）和住址 | 4,762 条记录 | 已确认泄露（公司） |
| 姓名（片假名）、住址、电话号码、邮政编码 | 209 条记录 | 已确认泄露（公司） |
| 下单日期、门店名称和地址、商品名称 | 部分记录被窃取 | 已确认泄露（公司） |
| 信用卡信息、ID 和密码 | 未泄露 | 不包含（公司） |
| 公司凭据或集成设置的泄露或篡改 | 委托方的调查未发现 | 不包含（公司） |
| 途径和原因的详情 | 被利用的缺陷已修复（委托方）。途径无详情 | 未说明 |
| 未经授权访问的时间段 | 11月1日发现。未说明更早的时间段 | 未说明 |
| 滥用或二次危害 | 截至目前未确认 | 截至目前未确认（公司） |
| 涵盖哪些订单、三组数量是否重叠 | 公告中未说明 | 未说明 |
| 个别联系 | 陆续通过短信发送至注册的电话号码 | 已确认（公司） |
注意：这些数字是记录数，不是人数，三组数量不相加
公告按项目组合给出数字，单位是记录。它没有说是人数，也没有说三组是重叠还是各自独立。所以本站不给出合计，也不将其换算为人数。公司的公告没有给出合计。
这些项目的组合可能被用来做什么
一般而言，这些组合可能导致以下几类滥用。这并不表示此事件中已经发生。
- 姓名（片假名）+ 住址：冒充包裹未送达或重新配送、以收货人为对象的联系。只要说对姓名就足以显得真实
- 姓名（片假名）+ 电话号码：冒充核实身份以套取信息的电话或短信
- 门店名称、商品名称、下单日期：诸如“关于您最近的订单”之类似乎知道真实订单的联系。知道订单并不能证明它是真的
- 密码、卡信息：公司称这些未泄露，所以没有要求更改
使用配送委托方的服务运营者：根据已公布的事实可以核对什么
原因的详情尚未公布。本节不评价公司或委托方，只根据已公布的事实，说明运营者可以在自己的服务中核对哪些方面。
盘点您交给委托方的数据
根据公告，被窃取的项目是下单人（收货人）的姓名（片假名）、住址、电话号码、邮政编码、门店名称、商品名称等。记录最多的一组是仅姓名（片假名）。请检查您交给委托方的数据是否仅限于配送所需。您没有交出的数据，就不会从委托方泄露。
决定何时停止集成，以及重启前如何检查
根据 Demae-can 的公告，其于11月2日得到通知，当天14:00 过后不久停止了与委托方的集成，确认修复完成后，在21:00 左右重启。如果您事先决定何时停止、重启前检查什么，那么这类消息到来的当天就不会犹豫。
决定由谁接收委托方的调查结果，以及如何联系客户
对于 7NOW，委托方的调查在11月3日发现其数据也被窃取，并于当天公布。您需要事先决定：在得知数量的当天，如何联系受影响的客户（短信、邮件、应用），并准备好让客户核实联系是否真实的方式（在官方页面上发布相同的内容）。
参考来源（公开记录）
本文事实基于以下公开信息。对于尚未公布的原因、时间段或入侵途径，我们没有做推测。
- Seven-Eleven Japan (SEJ) Co., Ltd.，关于配送委托方遭未经授权访问导致 7NOW 客户信息泄露的公告（日文，2026年11月3日）— sej.co.jp
- [配送委托方]，《关于 PickGo 遭未经授权访问及个人信息可能泄露（第一次报告）》（日文）— cb-cloud.com
- [配送委托方]，《关于 PickGo 遭未经授权访问及个人信息可能泄露（第二次报告）》（日文，2026年11月3日更新）— cb-cloud.com
- Demae-can Co., Ltd.，关于委托方遭未经授权访问导致客户信息泄露的公告（日文，2026年11月3日）— corporate.demae-can.co.jp
更新记录
2026-11-05：首次发布，依据 Seven-Eleven Japan 11月3日的公告、委托方的第一次和第二次报告以及 Demae-can 11月3日的公告。我们在11月5日查看时，未发现比11月3日更新的后续信息。待原因、时间段、是否发生二次危害等信息公布后将予以更新。
延伸阅读
- 类似的日本案例：Yamato Transport 和 Sagawa Express 未经授权访问 / MrMax 会员数据泄露 / Nojima Online 未经授权访问
- 手机：智能手机安全基础
- 后续诈骗：什么是网络钓鱼？
- 2026 年其他事件：数据泄露与网络攻击（日本及海外）