熟成肉（サムギョプサル）専門店「ヨプの王豚塩焼」を運営する株式会社YOPUは2026年7月13日、赤坂店の従業員が顧客のクレジットカード情報を故意に盗み取っていたとして、お詫びとお知らせを公表した。2024年7月1日から同年10月7日までの間に同店でカード決済を行った284名の情報が漏えいした可能性があり、一部のカードが不正利用された恐れもあるという。同社は当該従業員を解雇し、警察に刑事事件としての捜査を依頼している。
従業員がスキミング機器でカード情報を窃取
同社の発表によると、漏えいの原因は「ヨプの王豚塩焼 赤坂店」の従業員がクレジットカード情報をスキミングする機械を使用していたことだという。スキミングとは、カードの磁気情報などを専用の機器で読み取り、不正にデータを複製・取得する手口で、読み取りは一瞬で完了するため、被害者がその場で気付くことはほとんどない。
漏えいした可能性のある情報は、カード名義人名、クレジットカード番号、有効期限、セキュリティコード（カード裏面などに記載された3～4桁の本人確認用の番号）の4項目。決済に必要な情報一式がそろっており、不正利用に直結しかねない内容だ。対象となるのは、2024年7月1日から10月7日の期間中に赤坂店でクレジットカード決済をした顧客284名としている。
発覚は2024年10月、公表まで約1年9カ月
経緯についても同社は説明している。2024年10月7日、一部のクレジットカード会社から、店舗利用客のカード情報に漏えいの懸念があるとの連絡を受け、翌8日には警視庁赤坂警察署に報告して捜査を依頼した。調査の結果、漏えいは当該従業員の故意によるものと判明し、同社は2024年10月9日に従業員を解雇するとともに、個人情報保護委員会へ速報を提出したという。
一方で、一般への公表は2026年7月13日となり、発覚から約1年9カ月を要した。この点について同社は「不確定な情報の公開はいたずらに混乱を招き、お客様へのご迷惑を最小限に食い止める対応及び準備を整えてからの告知が不可欠であると判断し、発表は警察への調査依頼後、およびカード会社との連携を待ってから行うことに致しました」と釈明し、時間を要したことを重ねて謝罪している。
公表を受けて、カード発行会社側も動いている。UCカードは2026年7月16日、本件に起因する不審な売上の有無を確認中であるとして、過去に同店を利用したカード会員に利用明細の確認を呼びかける告知を出した。
会社の対応と利用者への呼びかけ
同社はクレジットカード会社と連携し、漏えいした可能性のあるカードによる取引のモニタリングを継続して実施しているとし、カードの再発行手数料は同社が負担すると表明した。再発防止策としては、各店舗の店長会議で、カード決済時にカードを預からず、必ず顧客自身に決済端末へ差し込んでもらうよう注意喚起・教育を行ったほか、セキュリティ対策と監視体制の強化を進めるとしている。
対象期間中に赤坂店でカード決済をした利用者は、利用明細に身に覚えのない請求がないかを確認し、不審な履歴があればカード裏面に記載のカード発行会社へ連絡してほしい。
「店にカードを渡す」日常動作に潜む内部者リスク
今回の事案が示すのは、外部からのサイバー攻撃ではなく、店舗の従業員という内部者による情報窃取という脅威だ。セキュリティコードまで含めて読み取られており、システムの脆弱性対策や通信の暗号化では防げない。飲食店や小売店で日常的に行われてきた「店員にカードを手渡す」という動作そのものがリスクになり得る。
対策の方向性は、同社が再発防止策として掲げたとおり、カードを従業員の手に渡さない運用への転換だ。顧客自身が端末にカードを挿入・タッチする決済方式や、テーブル決済端末の導入は、内部者によるスキミングの機会を物理的に奪う。利用者側も、カードが視界の外に持ち去られる決済をできるだけ避け、明細を定期的に確認する習慣が自衛策となる。
また、発覚から公表までの期間の長さは、警察捜査との兼ね合いという事情があるにせよ、その間に対象顧客が自ら被害に気付く機会が限られていたことを意味する。インシデント公表のタイミングは、企業の信頼に直結する難しい経営判断であることも、本件は浮き彫りにしている。