バリューデザイン「Value Card」に不正アクセス、ID・PIN・残高 142万4,748件

事案の概要データ

公表日	2026年10月23日
確認日	2026年10月19日
原因	子会社のシステムの一部環境に存在するWebサーバーの脆弱性を第三者に悪用された
流出件数	1,424,748件
内訳	発行済みID 569,224件／未発行ID 855,524件
流出項目	ID番号、PIN番号、残高情報
個人情報	流出対象として「該当なし」と説明
発行済みIDの不正利用	おそれがあったが対処済み。実被害はないと説明
モスカードとの関係	モスカード113万3,070件はこの142万件に含まれるとみられる
他の発行会社の内訳	未公表
未解明	不正アクセスの開始時期、侵入経路の詳細、PINの保存方法

図解：この事故の構造

図：142万4,748件のうち約8割がモスカード分。残り約29万件の発行会社は未公表。

流出したID・PIN・残高情報：1,424,748件

モスカード分（モスフードサービスが公表）　113万3,070件（全体の約8割）
その他の発行会社分　約29万件。発行会社の内訳は未公表

何が起きたのか

ペイクラウドホールディングスは2026年10月23日、子会社バリューデザインが提供するハウス電子マネー「Value Card」のシステムへの不正アクセスを公表しました。確認したのは10月19日です。

原因は、子会社のシステムの一部環境に存在するWebサーバーの脆弱性を第三者に悪用されたことです。流出したのはID番号、PIN番号、残高情報の計1,424,748件。内訳は発行済みIDが569,224件、未発行IDが855,524件です。

個人情報については、流出対象として「該当なし」と説明されています。発行済みIDについては不正利用のおそれがありましたが、対処済みで実被害はないとしています。

モスカード113万件の「大元」がこれ

同じ日、モスフードサービスが「モスカード」113万3,070件の流出を公表しました。両者は同じ事案です。

バリューデザインはハウス電子マネーの基盤を提供する会社で、モスフードサービスはその利用企業です。モスカードは、Value Cardの仕組みの上で動いていました。

Value Card全体の142万4,748件のうち、113万3,070件がモスカード分です。つまり約8割がモスバーガーの利用者です。

残りの約29万件がどの発行会社のものかは公表されていません。ハウス電子マネーは、商業施設、飲食チェーン、小売店など多くの企業が導入しています。今後、別の企業からも公表が出る可能性があります。

2026年10月は、この「大元が1社、利用企業が多数」という構造の事案が繰り返されました。ブラストメール（ラクスライトクラウド）、フューチャーショップ、アルカディア、Studio、コミューンです。

「個人情報は該当なし」の意味

バリューデザインは、流出対象の個人情報は「該当なし」としています。氏名も住所もメールアドレスも含まれていません。

これは事実ですし、重要な情報です。しかし「被害がない」という意味ではありません。

流出したのはID番号・PIN番号・残高情報です。この3つが揃えば、そのカードの残高を他人が使える可能性があります。プリペイドカードは本人確認なしで使えることが利点であり、流出時にはそれが弱点になります。

そして残高情報まで含まれているため、「どのカードに多く入っているか」が分かります。攻撃者は残高の大きいものから狙えます。

個人情報が含まれないことと、金銭的被害が起きないことは、別の話です。

未発行IDが85万件あった

流出した142万件のうち、85万5,524件は「未発行ID」です。まだ誰の手にも渡っていないカードの番号とPINです。

これらは、これから店頭に並ぶカードです。もし対処されないまま発行されれば、購入した人がチャージした瞬間に、その残高を他人に使われかねません。

同社は対処済みとしていますが、未発行分についても番号を無効化するなどの措置が必要です。

自社でプリペイドカードやギフト券を扱っている事業者は、「発行前の在庫データもシステム上に存在する」という点を意識してください。まだ売っていないから安全、ということはありません。

Webサーバーの脆弱性という原因

原因は「システムの一部環境に存在するWebサーバーの脆弱性」とされています。不正アクセスの開始時期、侵入経路の詳細、PINの保存方法は未公表です。

2026年10月は、脆弱性を突かれた事案が集中しました。10月22日のバルテック、10月23日のトレジャー・ファクトリー、グッドスマイルカンパニーです。フューチャーショップはPHPの重大な脆弱性への対応が完了していないとして全店舗を停止しました。

脆弱性とは、ソフトウェアに見つかった弱点です。公表されると攻撃者もすぐ知るため、修正プログラム（パッチ）を当てるまでの時間が勝負になります。

中小企業で確認すべきは次の2点です。1つは、自社のWebサイトやシステムが使っているソフトウェアが更新されているか。もう1つは、「一部環境」——テスト用のサーバーや、昔作って放置しているページ——が残っていないかです。

本件も「一部環境」が入口でした。使っていないサーバーほど、更新が止まっています。

時系列で見る経過

2026年10月19日子会社バリューデザインのシステムへの不正アクセスを確認
2026年10月23日ID番号・PIN番号・残高情報計1,424,748件の流出を公表。Webサーバーの脆弱性を悪用されたと説明
2026年10月23日利用企業のモスフードサービスが、モスカード113万3,070件の流出を公表

中小企業が学ぶべきポイント

「個人情報は含まれない」と「金銭的被害がない」は別の話。
ID・PIN・残高が揃えば、残高の大きいカードから狙われる。
発行前の在庫データもシステム上に存在する。「まだ売っていないから安全」ではない。
「一部環境」——テスト用サーバーや放置されたページ——が入口になる。
使っていないサーバーほど更新が止まっている。棚卸しをする。
基盤を提供する1社の事故は、利用企業すべてに波及する。

出典・参考

ご注意
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。