最終更新：10 月 24 日 18:16（日本時間）
続報が出たら追記します。
すぐ見る：よくある疑問 ／ カードを持っている人 ／ モスカード ／ 導入している会社 ／ 技術的な詳細 ／ 経緯
ひとことで言うと
お店のプリペイドカードの番号と暗証番号が、外に漏れた事故（10 月 23 日の発表まで）
- お店が自分の名前で出すプリペイドカードの仕組み「Value Card」（バリューデザイン）のサーバーに入り込まれ、カードの ID 番号・PIN 番号（暗証番号）・残高の情報が 1,424,748 件漏れた
- 名前や住所などの個人情報は入っていない。不正に使われるおそれには手を打ってあり、実際の被害はないとしている
- 原因はサーバーの弱点（Web サーバーの脆弱性）を突かれたこと。仕組みを任せていたモスフードサービスも「モスカード」の番号が漏れたと発表した
どうすればいい？
よくある疑問と答え
-
持っているカードは対象？
どのお店のカードが対象かは、ペイクラウドホールディングスの発表には書かれていません。カードを出しているお店（カードに名前がある会社）のお知らせを確かめてください。
→ カードを持っている人がやること -
何が漏れた？
カードの ID 番号・PIN 番号・残高の情報です。個人情報は「該当なし」とされています。
→ 件数と内訳 - 残高は勝手に使われた？ 不正に使われるおそれには手を打ってあり、実際の被害はないと発表されています。そのための対処で、一部の使い方に不便が出る場合があるとしています。
-
モスカードは使える？
店頭・ネット注文・「お席で注文」では、これまでどおり使えます。漏れた番号の PIN 番号は、強制的に変えられています。
→ モスカードの案内 - 気をつけることは？ お店や運営会社を名乗る SMS・メール・電話です。リンクは開かず、カードの番号や PIN 番号を入れないでください（この記事での整理）。
-
どんな弱点を突かれた？
「Web サーバーの脆弱性」とだけ発表されていて、種類や製品の名前は出ていません。
→ 技術的な詳細 -
Value Card を導入している会社は？
自社のカードが対象かと、どんな対処がされたかをバリューデザインに確かめ、お客さまへの答え方を用意します（この記事での整理）。
→ 導入している会社がやること
詳しくは：カードを持っている人 ／ 導入している会社 ／ 技術的な詳細
この記事では、バリューデザインの「Value Card」への不正アクセスと情報の流出について、親会社のペイクラウドホールディングスの 10 月 23 日の発表（適時開示）と、バリューデザインのお知らせだけをもとに、何が起きたのかと、カードを持っている人・Value Card を導入している会社がやることを整理します。
何が起きたか
10 月 23 日の発表で分かっていることです。Value Card は、お店や企業が自社の名前で出すプリペイドのカードや電子マネー（ハウス電子マネー）を発行するための、バリューデザインのサービスです。
そのサーバーに外から何者かが入り込み、サービスで管理している情報の一部が外に漏れました（流出）。ペイクラウドホールディングスによると、原因は、子会社のシステムの一部の環境で、Web サーバーの脆弱性を悪用されたことです。
| こと | 発表の内容 |
|---|---|
| 確認日 | 10 月 19 日 |
| 漏れた情報 | ID 番号・PIN 番号・残高情報 |
| 件数 | 1,424,748 件。内訳は、発行済 ID 569,224 件と、未発行 ID（利用者が買う前の ID）855,524 件 |
| 個人情報 | 該当なし |
| 利用者への影響 | 発行済 ID は不正に使われるおそれがあったが、対処済み。実際の被害はない。対処のため、一部の使い方に不便が出る場合がある |
| 対応 | 分かってすぐに入り込まれた経路をふさぎ、被害が広がらないようにした。関係機関に報告済み |
このほかに、不正アクセスによる影響は今のところ確認されていないとしています。業績への影響は精査中です。
カードを持っている人がやること
発表には、利用者へのお願いは書かれていません。発行済みのカードは対処済みで、実際の被害はないとされています。そのうえで、次のことをしておくと安心です（この記事での整理）。
- カードを出しているお店（カードに名前が書かれている会社）のお知らせを確かめる。使えないときの案内も、お店に確かめる
- 残高や使った記録を、お店のアプリや会員ページなど、いつもの方法で見る。覚えのない動きがあれば、お店の窓口に聞く
- お店や運営会社を名乗る SMS・メール・電話のリンクは開かない。カードの番号や PIN 番号を入れない
仕組みを任せていた会社の発表（モスカード）
バリューデザインにカードの仕組みを任せていた会社も、自社のカードへの影響を発表しています。ここでは、自社の公式サイトで発表している例を紹介します。
- モスフードサービス（モスカード・10 月 23 日） モスバーガーを展開する会社です。モスフードサービスによると、プリペイドカード「モスカード」のサーバーの運用・保守を任せているバリューデザインのシステムに入り込まれ、一部のモスカードの情報が外に漏れました。漏れたのは、モスカード番号（16 桁）・PIN 番号（6 桁）・残高情報です。件数は、発行総数 約 380 万件のうち 113 万 3,070 件（うち、流通済みカード 約 57 万件／未流通カード 約 56 万件）。氏名・住所・電話番号・クレジットカード情報などの個人情報は入っていません。発表の時点で、この件による被害の問い合わせは届いていないとしています。
- モスカードを持っている人へのお願い 漏れたカード番号の PIN 番号は、不正利用を防ぐため強制的に変えられました。店頭・ネット注文・「お席で注文」では、これまでどおり使えます。Web での残高照会、公式アプリへの新規登録、ネット注文でのモスカードによるゲスト購入ができないときは、モスカードお問い合わせ専用窓口（受付は 9:00〜22:00。電話番号は 10 月 27 日から変わるので、モスバーガー公式サイトのお知らせで確かめる）に連絡します。チャージした額が引かれているなど、覚えのない利用がないかも確かめるよう求めています。問い合わせのときは、使っている店舗や残高などで簡単な本人確認をする場合があります。
-
業績への影響と再発防止策
モスフードサービスは、業績への影響は軽微と見込んでいます。挙げている再発防止策は、下の技術的な詳細にまとめています。
→ 再発防止策
モスフードサービスの発表には、「Value Card」という名前や、ペイクラウドホールディングスが発表した 1,424,748 件との件数の関係は書かれていません。
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 23 日 | モスフードサービスが、運用・保守を任せているバリューデザインのシステムへの不正アクセスで、モスカード番号・PIN 番号・残高情報 113 万 3,070 件が漏れたと発表。漏れたカード番号の PIN 番号は強制的に変えた |
| 10 月 23 日 | ペイクラウドホールディングスが適時開示で、Value Card のサーバーへの不正アクセスと、ID 番号・PIN 番号・残高情報 1,424,748 件の流出を発表。バリューデザインも自社サイトでお知らせを出し、不正アクセスを確認した一部の導入企業には対応の進み具合を報告しているとした |
| 10 月 22 日 | バリューデザインが、PHP の重大な脆弱性への予防的な措置として、一部のサービスを一時止めたと発表（今回の不正アクセスとの関係は発表に書かれていない） |
| 10 月 22 日 | モスフードサービスが、PHP の脆弱性への対応として、モスカードの Web チャージなどを一時止めたと発表（今回の流出との関係は発表に書かれていない） |
| 10 月 19 日 | 情報の流出を確認した日（発表の「確認日」） |
| 10 月 14〜18 日 | バリューデザインが、モスカードの管理システムへの不審なアクセスや不正ログインの試みを見つけた期間（モスフードサービスの発表） |
Value Card を導入している会社がやること
バリューデザインは、不正アクセスを確認した一部の導入企業には、対応の進み具合をそのつど報告しているとしています。導入している会社は、次のことを確かめておくと、お客さまからの問い合わせに答えやすくなります（この記事での整理）。
- 自社が出しているカードが対象に入るか、どんな対処がされ、お客さまの使い方にどんな影響があるかを、バリューデザインに確かめる
- お客さまへのお知らせ（起きたこと・使い方への影響・問い合わせ先）と、店頭や電話で聞かれたときの答え方を用意する。自社を装う連絡への注意も添える
- 残高の照会やチャージをアプリや Web で受けているなら、止まったときの案内の出し方を決めておく
技術的な詳細（システム担当者向け）
ここからは、プリペイド・ポイント・会員カードなどの仕組みを運用している担当者・エンジニア向けです。ペイクラウドホールディングス・バリューデザイン・モスフードサービスの発表から読み取れる技術的な点を並べます。
| 観点 | 発表の内容 |
|---|---|
| 侵入の原因 | 子会社のシステムの一部の環境で、Web サーバーの脆弱性を第三者に悪用された（ペイクラウドホールディングス）。モスフードサービスは「外部プログラムを用いた不正アクセス」と説明している |
| 検知 | 10 月 14 日〜18 日に、モスカードの管理システムへの不審なアクセスや不正ログインの試みを検知（モスフードサービスの発表）。流出の確認日は 10 月 19 日 |
| 流出したデータ | ID 番号・PIN 番号・残高情報。購入前の未発行 ID も含む。モスカードではカード番号（16 桁）と PIN 番号（6 桁） |
| 封じ込め | 不正アクセスの経路を遮断し、発行済 ID の不正利用のおそれに対処。モスカードは流出した番号の PIN 番号を強制変更 |
| 再発防止（バリューデザイン側） | 外部の専門機関と連携し、全サービスの脆弱性のある箇所を点検し直す。攻撃に関する情報は導入企業や関係機関と共有する |
| 再発防止（モスフードサービス側） | 委託先のサーバー・システムのセキュリティ水準の確認と監督の強化。API を通した不正アクセスへの対策、簡易なパスワードの制限、管理用アカウントの接続元の制限、委託先の環境を含めた監視の強化 |
| 発表に無いこと | 脆弱性の種類・CVE 番号・Web サーバーの製品名と版・侵入が始まった時期・対象となった発行会社の一覧 |
別件として、バリューデザインは 10 月 22 日に、PHP の重大な脆弱性への予防的な措置で一部のサービス（アララ キャッシュレス・オンラインチャージサービス）を一時停止したと知らせています（このお知らせでは、バリューカード ASP サービスは稼働しているとしています）。モスフードサービスも同じ日に、PHP の脆弱性への対応として公式アプリの d アカウントの連携とモスカードの Web チャージを一時停止しました。これらの停止と今回の不正アクセスとの関係は、どの発表にも書かれていません。
この記事での整理です。名前や住所が入っていなくても、番号・PIN・残高のように「お金として使える情報」は狙われます。プリペイドやポイントの仕組みでは、次の点を確かめておくと被害を小さくできます。
- PIN の保存：照合にしか使わない PIN は、復元できない形（ハッシュ化）で持つ。未発行のカードの番号と PIN も同じように守る
- API と管理画面：残高照会やチャージの API にレート制限をかけ、番号の総当たりに気づけるようにする。管理用アカウントは接続元を絞り、多要素認証と強いパスワードを求める
- 監視：不正ログインの試みや、ふだんと違う量の照会をログで見つけ、担当者へ通知が届くようにする。委託先の環境も監視の範囲に入れる
- まとめて止める手順：漏えいが分かったときに、対象の番号の PIN を一斉に変える・使えなくする手順と、お客さまへの案内を決めておく
- 更新の担当：Web サーバー・PHP・CMS などの脆弱性の情報が出たら、確かめて更新する担当と手順を決める。外部に任せているなら、任せた範囲を確かめる
次に読む：同じ時期に出た PHP の重大な脆弱性 ／ 委託先で事故が起きたときの初動（委託先の事故の比較）
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、サーバーやソフトの脆弱性の情報を追い、更新や安全対策を公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
