モスカード113万件の番号・PINが流出、委託先バリューデザインに不正アクセス
| 項目 | 内容 |
|---|---|
| 発生・公表日 | 不審なアクセスの検知: 2026年10月14日〜18日 / 流出の確認: 10月19日 / 公表: 10月23日 |
| 対象組織・業界 | 株式会社モスフードサービス（東京都品川区）／「モスバーガー」を展開 |
| 委託先 | 株式会社バリューデザイン（ペイクラウドホールディングスの連結子会社）／モスカードのサーバー運用・保守 |
| 攻撃手法 | Webサーバーの脆弱性を悪用した不正アクセス（ペイクラウドHDの公表） |
| 対象システム | モスカードの管理システム（バリューデザインの「Value Card」サービス） |
| 対象件数 | モスカード 113万3,070件（流通済み 約57万件／未流通 約56万件）。発行総数は約380万件 |
| 対象情報 | カード番号（16桁）・PIN番号（6桁）・残高情報。氏名・住所・電話番号・クレジットカード情報は含まれない |
| 情報源 | モスフードサービス「不正アクセスに伴うプリペイドカード情報の流出に関するお知らせ」（2026年10月23日）、モスバーガー公式のお知らせ、ペイクラウドホールディングス「当社連結子会社が提供するシステムへの不正アクセスに関するお知らせ」（同日）、バリューデザインのお知らせ |
株式会社モスフードサービスは2026年10月23日、プリペイドカード「モスカード」の情報が外部に流出したと公表しました。カードのサーバー運用・保守を委託する、株式会社バリューデザインのシステムが不正アクセスを受けました。
流出したのは、カード番号・PIN番号・残高情報です。対象は113万3,070件で、発行総数約380万件の3割ほどにあたります。このうち約57万件は流通済み、約56万件は店頭に出る前の未流通のカードです。
件数はカードの枚数で、人数ではありません。氏名・住所・電話番号・クレジットカード情報は含まれていないと同社は説明しています。公表時点で、本件による被害の問い合わせは届いていないとしています。
バリューデザインの親会社であるペイクラウドホールディングスも、同日に事案を公表しました。原因は、子会社のシステムの一部の環境で、Webサーバーの脆弱性を悪用されたことです。
- 2026年10月14日〜18日: バリューデザインが、管理システムへの不審なアクセスと不正ログインの試みを検知
- 検知後: 直ちにアクセスを遮断し、調査を開始。外部プログラムを使った不正アクセスで情報が流出したと確認
- 2026年10月19日: ペイクラウドHDが流出を確認（同社の公表による確認日）
- 公表まで: モスフードサービスが、流出したカードのPIN番号を強制的に変更
- 2026年10月23日: モスフードサービス・ペイクラウドHD・バリューデザインが公表
PIN番号の変更に伴い、一部の機能が使えない場合があります。Webでの残高照会、公式アプリへの新規登録、ネット注文でのゲスト購入です。店頭・ネット注文・「お席で注文」での利用には問題がないと同社は説明しています。
同社は利用者に、身に覚えのない利用がないか、履歴の確認を求めています。チャージ額の引き去りなどが対象です。
Value Card全体の流出件数
Section titled “Value Card全体の流出件数”ペイクラウドHDによると、「Value Card」全体で流出したのは142万4,748件です。項目はID番号・PIN番号・残高情報です。内訳は、発行済みID 56万9,224件、未発行ID 85万5,524件です。個人情報は含まれず、不正利用による実被害もないとしています。
Value Cardは、企業が独自の電子マネーを発行するためのサービスです。モスカード以外にどの発行会社のカードが含まれるかは公表されていません。モスフードサービスの件数とは集計の範囲が異なるため、2つの件数は足し合わせられません。
ペイクラウドHDによると、子会社のシステムの一部の環境でWebサーバーの脆弱性を悪用されました。脆弱性のある製品名や、侵入が始まった時期は公表されていません。
1. 委託先での検知を、発行会社にすぐ届ける
Section titled “1. 委託先での検知を、発行会社にすぐ届ける”本件のように、カードの管理システムが委託先にある場合、異常を最初に見るのは委託先です。発行会社は、委託先が何を監視し、検知を何時間以内に知らせるかを契約で決めておきます。不正ログインの試みや、管理画面・APIへの不審なアクセスも連絡の対象に含めます。
2. 外部に開いたWebサーバーの更新と、入口の制限
Section titled “2. 外部に開いたWebサーバーの更新と、入口の制限”本件の原因はWebサーバーの脆弱性と公表されています。Webサーバーやミドルウェアの脆弱性が公表されたら、委託先に確認します。自社のカードを扱うどのシステムに当たるのかを、そのつど突き合わせます。
更新が終わるまでの間は、入口側の制限でしのぎます。同社が再発防止策に挙げた、管理アカウントの接続元IPアドレス制限はその1つです。管理画面に外部から届かなければ、脆弱性が残っていても侵入される経路は狭まります。
ヤグラの視点 — 委託先の検知を、発行会社の対処につなぐ
Section titled “ヤグラの視点 — 委託先の検知を、発行会社の対処につなぐ”本件の委託先は、モスカードだけを扱う業者ではありません。Value Cardは、複数の企業が独自の電子マネーを発行するためのサービスです。委託先1社の被害が利用組織に広がる構図は、アルカディアやIDCフロンティアの事案と同じです（委託先でつないだまとめ記事）。
異常を最初に見るのは委託先でも、利用者に影響する措置を決めるのは発行会社です。本件でも、PIN番号の強制変更は同社が行いました。
そのため、発行会社の側で次の手順が決まっていなければ、委託先の検知は利用者を守る措置につながりません。検知の連絡を受けたときに、PIN番号の変更などを誰の判断で発動するかを、平常時から決めておきます。利用者に送る案内の文面も、あわせて用意しておきます。そうしておけば、侵入の詳しい経緯が分かる前でも、不正利用を防ぐ措置に移れます。
- 悪用された脆弱性の製品名と、侵入が始まった時期
- 流通済みカードでの不正利用の有無
- モスカード以外に影響を受けたValue Cardの発行会社
- 委託先の監視体制強化の具体的な内容
判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-10-26 | 第一報を公開 |
