「モスバーガー」を運営する株式会社モスフードサービスは2026年10月23日、プリペイドカード「モスカード」のサーバー運用・保守を委託している株式会社バリューデザインのシステムが第三者による不正アクセスを受け、モスカードの情報113万3070件が外部に流出したと発表した。流出したのはカード番号、PIN番号（暗証番号）、残高情報で、氏名や住所、電話番号、クレジットカード情報などの個人情報は含まれていないとしている。
5日間にわたり不審なアクセスや不正ログインの試行
発表によると、2026年10月14日（水）から18日（日）にかけて、バリューデザインがモスカードの管理システムに対する不審なアクセスや不正ログインの試行を検知した。直ちにアクセスの遮断などの緊急措置を取って調べたところ、外部のプログラムを使った不正アクセスにより、一部のモスカードの番号、PIN番号、残高情報が流出したことが確認されたという。
流出したのは、発行総数約380万件のうち113万3070件で、内訳は流通済みのカードが約57万件、まだ店頭などで流通していないカードが約56万件である。対象の情報は16桁のカード番号、6桁のPIN番号、残高情報となる。発表の時点で、この件に伴う被害について、利用者からの問い合わせは届いていないとしている。
報道によると、バリューデザインと親会社のペイクラウドホールディングスも同日、バリューデザインが提供する、特定の企業や店舗で使える「ハウス電子マネー」の発行サービス「Value Card」のサーバーが不正アクセスを受け、ID番号、PIN番号、残高情報142万4748件が流出したと発表した。
PINを強制変更、店頭での利用は継続
モスフードサービスは不正利用を防ぐため、流出したカード番号に紐づくPIN番号を強制的に変更した。店頭、ネット注文、「お席で注文」での利用には問題がない。一方で、Web上での残高照会、公式アプリへの新規登録、ネット注文でモスカードを使ったゲスト購入ができない場合は、専用の問い合わせ窓口に連絡するよう求めている。利用者には、チャージした残高から身に覚えのない引き落としがないか、利用履歴を確認するよう呼びかけている。
カード番号とPIN番号の流出は残高の不正利用につながるおそれ
プリペイドカードの番号とPIN番号、残高がそろうと、第三者がネット上で残高を使えてしまうおそれがある。氏名などの個人情報が含まれていなくても、利用者の残高に直接関わる情報である。同社は、不正利用を防ぐためにPIN番号を強制変更した。
同社は再発防止策として、委託先のサーバーやシステムのセキュリティ水準の再検証と監査の徹底、API（システム同士をつなぐ仕組み）経由の不正アクセスへの制御の強化、簡単で危険性の高いパスワードの制限、管理用アカウントの接続元IPアドレスの制限、委託先の環境を含めた予兆検知と即時遮断の体制強化を挙げている。
決済や会員の仕組みの運用を外部に任せていても、利用者からは、ブランドを掲げる企業の対応が問われることになる。委託先のシステムで、管理用アカウントの守り方や不審なアクセスの見張り方がどうなっているかを、契約時だけでなく定期的に確認しておきたい。
同じ手口に、自社は備えられていますか？