事案の概要データ
| 公表日 | 2026年10月23日 |
|---|---|
| 不正アクセスの時期 | 2026年10月14日〜18日（委託先） |
| 原因 | サーバーの運営・保守を委託する会社のシステムが不正アクセスを受けた |
| 流出件数 | 113万3,070件 |
| うち流通済み | 約57万件（残りは在庫分） |
| 発行総数 | 約380万件 |
| 流出項目 | カード番号、PIN番号、残高情報 |
| 含まれない情報 | 氏名、住所、クレジットカード情報などの個人情報 |
| 対応 | 不正利用を防ぐためPIN番号を強制的に変更 |
| 被害報告 | 現時点でなし |
図解：この事故の構造
- 流出した・流通済みのカード 約57万件（残高が使われる危険がある）
- 流出した・在庫分のカード 約56.3万件
- 流出していないカード 約266.7万件
何が起きたのか
モスフードサービスは2026年10月23日、プリペイドカード「モスカード」の情報113万3,070件が流出したと公表しました。サーバーの運営・保守を委託する会社のシステムが、2026年10月14日から18日にかけて第三者から不正アクセスを受けたことが原因です。
流出したのはカード番号、PIN番号、残高情報です。氏名や住所、クレジットカード情報といった個人情報は含まれていません。
発行総数 約380万件のうち、流出した113万3,070件の内訳は、流通済みが約57万件、残りは在庫分です。同社は不正利用を防ぐため、PIN番号を強制的に変更しました。現時点で被害の報告はないとしています。
個人情報は含まれていないが、お金は入っている
この事案は、他の多くの事案と性質が違います。氏名も住所もメールアドレスも含まれていません。「個人情報の漏えい」という言い方が当てはまりにくい事案です。
しかし、流出したのはカード番号とPIN番号、そして残高情報です。この3つが揃えば、そのカードの残高を他人が使えてしまう可能性があります。
プリペイドカードは、本人確認なしで使えるのが利点です。その利点が、流出時には弱点になります。誰のカードか分からなくても、番号とPINが分かれば使えてしまうからです。
そして残高情報まで流出したということは、「どのカードに多く入っているか」が分かる状態です。攻撃者は、残高の大きいものから狙えます。
PIN番号を強制変更した対応
同社はPIN番号を強制的に変更しました。これは適切な対応です。
流出したPINが分かっていても、変更されていれば使えません。利用者には不便が生じますが、残高を守るためには必要な処置です。
2026年10月の事案のなかで、「流出した情報を無効にする」対応を取ったものは多くありません。パスワードやPINのように変更できる情報は、変更すれば被害を止められます。
逆に、変更できない情報——氏名、住所、生年月日、運転免許証の画像——は、流出したら取り返しがつきません。10月23日に第5報が出たタイムズカー（本人確認書類画像 1,464,800件）は、まさにそのケースです。
自社で情報を預かるときは、「これは漏れたら変更できるか」を考えておくと、守り方の優先順位がつけられます。
委託先が入口だった
侵入されたのは、モスフードサービスではなく、サーバーの運営・保守を委託する会社です。
2026年10月は、この構造の事案が繰り返されました。ブラストメール（ラクスライトクラウド）経由で30組織超、アルカディア経由で全国の自治体、Studio経由で多数の企業、コミューン、IDCフロンティア——いずれも委託先1社の侵入が、委託元の顧客に波及しています。
委託する側にできることは限られますが、ゼロではありません。契約時にセキュリティの要件を確認する。事故時の連絡体制を決めておく。預けるデータを必要最小限にする。この3点です。
特に3点目は効果があります。本件では、委託先のシステムに氏名や住所が置かれていませんでした。だからこそ、流出が「カード番号・PIN・残高」にとどまりました。預けるデータを絞ることは、事故が起きたときの被害を直接小さくします。
モスカードをお持ちの方へ
PIN番号は強制的に変更されています。カードを使う際には、新しいPINの確認が必要になる場合があります。同社の案内に従ってください。
残高に不審な減少がないか確認してください。心当たりのない利用があれば、すぐに同社へ連絡します。
そして、モスフードサービスを装ったメールやSMSに警戒してください。「PINの再設定はこちら」といった誘導は、この種の事案のあとに必ず現れます。公式サイトか店舗で確認するのが確実です。
時系列で見る経過
- 2026年10月14日〜18日サーバーの運営・保守を委託する会社が不正アクセスを受ける
- 2026年10月不正アクセスを把握し、調査を開始
- 2026年10月不正利用を防ぐためPIN番号を強制的に変更
- 2026年10月23日モスカード113万3,070件（うち流通済み 約57万件）の流出を公表
中小企業が学ぶべきポイント
- プリペイドカードは本人確認なしで使える。その利点が流出時には弱点になる。
- カード番号・PIN・残高が揃うと、残高の大きいものから狙われる。
- PINやパスワードのように「変更できる情報」は、変更すれば被害を止められる。
- 氏名・住所・生年月日・本人確認書類は変更できない。守り方の優先順位をつける。
- 委託先に預けるデータを必要最小限にすると、事故時の被害が直接小さくなる。
出典・参考
- モス、プリペイドカード情報113万件が流出 委託先に不正アクセス（朝日新聞） - Yahoo!ニュース
- モスフード、プリカ情報113万件流出＝委託先の不正アクセスで - リスク対策.com
- 「トレファク」に不正アクセス モスバーガー運営会社も（共同通信） - Yahoo!ニュース
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。