最終更新：10 月 24 日 10:15（日本時間）
続報が出たら追記します。
すぐ見る：よくある疑問 ／ 漏れた情報 ／ オンライン注文を使った人 ／ 同じような仕組みを持つ会社 ／ 技術的な詳細 ／ 経緯
ひとことで言うと
ピザハットのオンライン注文の裏側の仕組みに入られ、お客さまの情報の一部が漏れた事故（10 月 23 日の発表まで）
- 10 月 19 日、ピザハットのオンライン注文で支払いの情報をやり取りする仕組み（決済 API）に、外から何者かが入り込んだ（不正アクセス）
- お客さまの ID・メールアドレス・電話番号・取引の記録などが漏れた。クレジットカードの情報は含まれない
- 件数や人数は発表されていない。原因と影響の範囲は調べている途中
どうすればいい？
よくある疑問と答え
-
何が漏れた？
お客様 ID・メールアドレス・電話番号・取引記録などです。クレジットカードの情報は含まれません。
→ 漏れた情報の一覧 - 自分は対象？ 日本国内向けのオンライン注文（サイト・アプリ）を使ったことがある人の情報が、入っている可能性があります。件数や人数は、お知らせに書かれていません。
- もう使っていない人も？ 漏れた情報には「削除済みのお客様情報に関する記録」も入っています。今は使っていない人も、ピザハットを装う連絡に気をつけておくと安心です（この記事での整理）。
-
気をつけることは？
ピザハットを名乗るメール・SMS・電話のリンクや添付ファイルは開かないでください。パスワードやカードの番号も入れないでください。
→ 使った人がやることと問い合わせ先 - パスワードは変えたほうがいい？ パスワードを変える必要があるかは、お知らせに書かれていません。続報を待つか、窓口で確かめてください（この記事での整理）。
-
オンライン注文の仕組みを持つ会社は？
決済や外部のシステムとつなぐ部分が、お客さまの情報をどこまで返すかを確かめます（この記事での整理）。
→ API の点検の観点
詳しくは：オンライン注文を使った人 ／ 同じような仕組みを持つ会社 ／ システム担当者向けの詳細
この記事では、ピザハットの情報漏洩（オンライン注文サービスの決済 API への不正アクセス）について、日本ピザハットの 2026 年 10 月 23 日のお知らせだけをもとに、何が起きたのかと、オンライン注文を使った人・同じような仕組みを使う事業者がやることを整理します。
何が起きたか
10 月 23 日のお知らせで分かっていることです。日本ピザハットによると、2026 年 10 月 19 日、何者かが、日本国内向けのオンライン注文サービスに関わる決済 API に不正アクセスしました。そして、お客様情報等を含むデータベースから、一部の情報を取ったことが確かめられました。
決済 API は、システムどうしで支払いに関わる情報をやり取りする仕組みだと説明されています。原因と影響の範囲のくわしいことは、引き続き調べているとしています。
| 区分 | 内容 |
|---|---|
| お客さまの情報 | お客様 ID・メールアドレス・電話番号 |
| 記録など | 削除済みのお客様情報に関する記録・セッションログイントークン（ログインした状態を保つための値）・取引記録 |
| 含まれないもの | クレジットカード情報 |
| 件数・人数 | お知らせには書かれていない |
日本ピザハットは、攻撃元の IP アドレスをブロックし、脆弱性に対応して、個人情報保護委員会に速報を出したとしています。システムの管理のしかたの見直しや、問題点を正す取り組み（是正措置）も進めるとしています。この件による二次被害は、今のところ確認されていません。
オンライン注文を使った人がやること
日本ピザハットの案内です。漏れたメールアドレスや電話番号を使って、ピザハットを装った何者かから、怪しいメールや SMS、電話などが来る可能性があるとしています。
- 心当たりのない連絡が来たら、書かれたリンクをクリックしない。添付ファイルも開かない
- その連絡に応じて、パスワードやクレジットカード情報などの大事な情報を入れたり、伝えたりしない
- 問い合わせは、日本ピザハット株式会社のお問い合わせ窓口（電話 0120-679-023・受付 10:00〜19:00）か、ピザハットの公式サイトのお問い合わせフォームへ
パスワードの変更やログアウトのし直しが必要かどうかは、お知らせには書かれていません。続報か窓口で確かめてください（この記事での整理）。
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 23 日 | 「個人データ漏えいにつながる不正アクセスに関するお詫びとお知らせ」を発表。漏れた情報の項目と、攻撃元の IP アドレスのブロック・脆弱性への対応・個人情報保護委員会への速報を済ませたことを示した |
| 10 月 19 日 | 何者かがオンライン注文サービスに関わる決済 API に不正アクセスし、データベースから一部の情報を取ったことが確かめられた |
同じような仕組みを使う会社がやること
ネット予約やオンライン注文、会員ページのように、お客さまの情報を扱う仕組みを持つ会社向けの、この記事での整理です。今回の原因は調べている途中で、ここに書くことは今回の原因を示すものではありません。
- 決済や外部のシステムとつなぐ部分（API）が、どの情報を返す作りになっているかを、制作会社やサービスの提供元に確かめる
- 退会や削除のあとにも残る記録があるか、どれくらいの期間持っておくかを確かめる
- 事故のときに、個人情報保護委員会への報告とお客さまへのお知らせを誰が出すかを決めておく
- 自社を装う連絡が出たときに、お客さまへ何を伝えるかのお知らせのひな形と、問い合わせの窓口を用意しておく
技術的な詳細（システム担当者向け）
ここからは、注文・決済・会員の仕組みを作る・運用する担当者・エンジニア向けです。まず、10 月 23 日のお知らせから読み取れる技術的な点を、お知らせの言葉に沿って並べます。
| 観点 | お知らせの内容 |
|---|---|
| 侵入の経路 | 日本国内向けオンライン注文サービスに関連する決済 API（システム間で決済関連情報をやり取りする仕組み）への第三者による不正アクセス |
| 取られたもの | お客様情報等を含むデータベースの一部の情報。お客様 ID・メールアドレス・電話番号・削除済みのお客様情報に関する記録・セッションログイントークン・取引記録 |
| 対処 | 攻撃元の IP アドレスのブロック、脆弱性への対応、個人情報保護委員会への速報。システムの管理体制の見直しと是正措置に取り組むとしている |
| お知らせに無いこと | 脆弱性の種類と、件数・人数。原因と影響範囲の詳細は調査中 |
API の点検の観点（この記事での整理）
脆弱性の種類は発表されていないので、ここでの観点は今回の原因を言い当てるものではありません。一般に、決済や注文の API からデータベースの情報が取られる事故で確かめる点です。
- API の入口を守っているか API ごとに認証が必要か、呼べる相手（接続元・API キー）を絞っているかを確かめる。使っていない API や古い版の API は止める。
- 返す情報を絞っているか レスポンスに、処理に要らないメールアドレス・電話番号・トークンが入っていないかを見る。決済の処理に要る項目だけを返す。
- トークンを無効にできるか セッションのトークンに有効期限があるか、漏れたときにまとめて無効にできるかを確かめる。
- 削除したデータが残っていないか 退会・削除の処理のあとに、どのテーブルやログに何が残るかを確かめ、保持する期間を決める。
- いつもと違う呼び出しに気づけるか API の呼び出しをログに残し、同じ接続元からの大量の呼び出しやエラーの急増で通知が届くようにする。レート制限と WAF も見直す。
次に読む：アプリの API から利用者の情報が取られたおそれがある FXなびの件 ／ 飲食店の公式アプリが不正アクセスを受けた焼肉きんぐの件
自社で見直すこと
画面からは見えないシステムどうしのつなぎ目にも、お客さまの情報が通っています。自社で作っていない仕組みでも、何が入っているかを知っておくことが説明の出発点になります（この記事での整理）。
- お客さまの情報が通る仕組みを一覧にする 注文・予約・決済・会員・フォーム・メール配信など、お客さまの情報が通る仕組みと、それぞれの提供元・担当者を控えておく。
- いらなくなった情報を持ち続けない 退会した人や古い取引の記録をいつまで持つかを決め、使わない情報は消す。持っていない情報は漏れない。
- 自社が連絡で求めないことを公式サイトに書いておく 「メールや SMS でパスワードやカード番号の入力を求めることはない」と書いておくと、自社を装う連絡と見分けてもらいやすくなる。
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、使っているサービスの事故の情報を追い、お知らせの掲載や安全対策を公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
