日本ピザハットの決済APIに不正アクセス、報道では最大約448万件

事案の概要データ

図解：この事故の構造

何が起きたのか

日本ピザハットは2026年10月23日、オンライン注文サービスの決済APIが第三者から不正アクセスを受け、顧客情報の一部が取得されたと公表しました。不正アクセスは2026年10月19日とされています。

漏えいが確認されたのは、お客様ID、メールアドレス、電話番号、削除済みのお客様情報に関する記録、セッションログイントークン、取引記録です。クレジットカード情報は含まれていません。

最大約448万件という数字は報道によるもので、同社の発表文には記載がありません。原因と影響範囲の詳細については、引き続き調査が進められています。

またしてもAPIが入口になった

APIとは、他のシステムから自動でデータをやりとりするための窓口です。人が画面を操作する経路ではなく、プログラム同士がつながる経路です。

2026年10月は、APIをめぐる事案が集中しました。10月13日のJR九州フードサービス（APIの権限不備）、15日のソースネクスト（会員情報取得APIの悪用・約2,251万件）、22日のブラストメール（API用サーバー2台への侵入）、そして本件です。

APIが狙われる理由は明確です。自動で大量のデータを取得できるからです。人が1件ずつ画面を開いて写すのとは、速度が桁違いです。

そして決済APIは、注文と支払いに関わる経路です。取引記録が取得されたということは、「誰がいつ何を注文したか」が渡った可能性があります。

公式発表に件数がないという状態

本件では、報道が「最大約448万件」と伝える一方、同社の発表文には件数の記載がありません。

これは珍しいことではありません。調査が進んでいない段階で件数を出せば、後で訂正することになります。2026年10月22日のバルテックは、初報の原因説明を同日中に訂正しました。10月16日のスカイチケットは、第1報の「カード番号の流出なし」を第2報で訂正しています。

慎重さは理解できます。ただし読む側としては、「公式が言っていない数字」と「報道の数字」を区別して受け取る必要があります。

本サイトでも、報道値は「報道値」と明記しています。公式発表の件数が出れば、更新します。

「セッションログイントークン」と「削除済みの記録」

公表された漏えい項目には、見慣れない2つが含まれています。

1つは「セッションログイントークン」です。これは、一度ログインした利用者が、次に開いたときもログイン状態を保てるようにするための符号です。パスワードの代わりに「この人は認証済み」と示す鍵のようなものです。

この符号が渡れば、パスワードを知らなくてもアカウントに入られる可能性があります。有効期限があるため永続的ではありませんが、流出直後は危険です。対象となった方は、一度ログアウトして入り直すことで、古い符号を無効にできます。

もう1つは「削除済みのお客様情報に関する記録」です。退会した人の情報が、記録として残っていました。

2026年10月22日のキャリー「Lili」でも、削除したはずの本人確認書類の縮小画像が残っていました。10月16日のスカイチケットでは、カード情報を自社保管しない方式へ移行したあとも、過去の会費支払いログが残っていました。

「消したつもりで残っている」場所は、ログ、バックアップ、キャッシュ、一時ファイル、サムネイルなど数多くあります。自社がデータを削除する運用を持っているなら、本当に全部消えているかを一度確認する価値があります。

注文履歴が渡ることの意味

取得された情報に「取引記録」が含まれています。つまり、誰がいつ何を注文したかの記録です。

これはフィッシングにとって強力な材料です。「10月◯日のご注文について、決済エラーが発生しました」という連絡は、実際に注文した人には非常に本物らしく見えます。

2026年10月23日のグッドスマイルカンパニーでも、購入商品名や注文金額が対象になりました。10月23日のトレジャー・ファクトリーも、出張買取や引越の申込者のアドレスが流出しています。

注文履歴は「ただの買い物の記録」ではなく、相手を信用させるための文脈になります。

ピザハットのオンライン注文を使った方は、注文に関する連絡を装ったメールやSMSに警戒してください。決済に関する確認は、公式アプリか、ブックマークから開いた公式サイトで行ってください。

時系列で見る経過

• 2026年10月19日オンライン注文サービスの決済APIが不正アクセスを受ける
• 2026年10月23日ID・メールアドレス・電話番号・取引記録などの取得を公表。報道では最大約448万件
• 2026年10月以降原因と影響範囲の詳細を引き続き調査

中小企業が学ぶべきポイント

1. セッションログイントークンが渡ると、パスワードなしでログインされうる。ログアウトして入り直すと無効化できる。
2. 「退会済み」の情報が記録として残っていることがある。削除運用を確認する。
3. APIは自動で大量のデータを取得できる。人の操作より流出規模が桁違いになる。
4. 決済APIは注文と支払いに関わる。取引記録が渡ると被害の質が変わる。
5. 注文履歴は「相手を信用させる文脈」になる。フィッシングの精度が上がる。
6. 公式発表の件数と報道の件数は区別して受け取る。
7. 決済に関する確認は公式アプリかブックマークから。メールのリンクは使わない。

出典・参考

• 日本ピザハット、決済APIへの不正アクセスで顧客情報が流出 報道では最大約448万件（ビジネス＋IT） - Yahoo!ニュース
• ピザハットで客らの情報約448万件流出か オンライン注文サービスに不正アクセス（テレビ朝日系） - Yahoo!ニュース
• 日本ピザハットの決済APIに不正アクセス 顧客情報が漏えい、最大約448万件の可能性 - NOVAIST