モスカード113万件、番号とPINが流出。プリペイドカードは「番号とPIN」がそのままお金になる

• 店や企業が独自に出すプリペイド式の電子マネー（ハウス電子マネー）のサービス「Value Card」のサーバーに不正アクセスがあり、ID番号・PIN番号・残高の情報1,424,748件が流出した。運営するバリューデザインの親会社、ペイクラウドホールディングスが10月23日に発表した
• このうちモスバーガーの「モスカード」が1,133,070件（流通済み約57万件、店に並ぶ前の未流通約56万件）。氏名や住所、クレジットカードの情報は含まれていない
• プリペイドカードは、番号とPINがあれば残高を使える。モスフードは対象カードのPINを強制的に変更した。ペイクラウドは実被害はないとしている

発表されたこと

Value Card（ペイクラウドホールディングス）

• 10月19日に流出を確認。ID番号、PIN番号、残高情報の流出は1,424,748件。内訳は発行済みID 569,224件、未発行ID 855,524件（利用者が買う前のID）
• 個人情報は該当なし。発行済みIDには不正利用のおそれがあったが対処済みで、実被害はない。対処のため、一部で使いにくくなることがある
• 原因は、子会社のシステムの一部の環境でWebサーバーの脆弱性を悪用されたこと
• 今後、外部の専門機関と全サービスの脆弱な箇所を再点検する

Value Cardを導入しているモス以外の企業の名前は、発表されていない。

モスカード（モスフードサービス）

報道によると、モスフードサービスも同じ日に、委託先のシステムへの不正アクセスでモスカードの情報1,133,070件が流出したと発表した。対象は16桁のカード番号、6桁のPIN番号、残高。

• 不正利用を防ぐため、対象カードのPINを強制的に変更した
• 店頭、ネット注文、「お席で注文」での支払いには問題ないとしている
• ただし、Webでの残高照会、公式アプリへの新規登録、ネット注文でモスカードを使うゲスト購入ができない場合は、専用の窓口に連絡してほしいとしている

なぜ「番号とPIN」が重いのか

クレジットカードと違い、プリペイドカードは持っている人のお金として扱われる。名前や住所がなくても、番号とPINがそろえば、ネットで残高を使えてしまう仕組みが多い。今回漏れたのは、まさにその組み合わせだ。

もう一つ気になるのが、未発行のID 85万件だ。店に並び、これから誰かが買ってチャージするカードの番号とPINが、先に漏れていたことになる。買われたあとで使われるおそれがあるため、番号やPINを変える対処が欠かせない（ここは筆者の見方）。モスがPINを強制的に変えたのは、この両方への手当てといえる。

モスカードを持っている人がやること

1. 店頭で使うぶんには、いつもどおり使える（モスの案内）
2. Webの残高照会、アプリの新規登録、ネット注文のゲスト購入でうまくいかなければ、モスの専用窓口へ。PINが変わっているためだ
3. 残高を確かめる。減っていたら、すぐに窓口に連絡する
4. 「モスカードのPINを再設定してください」「残高を返金します」といったメールやSMSのリンクは開かない。手続きはモスの公式サイトやアプリを自分で開いて確かめる
5. アプリに登録して使っている人は、アプリのアカウントのパスワードがほかと同じなら変えておく

プリペイドやポイントを発行する側の教訓

ここからは筆者の見方だ。

• PINは、取り出せない形で持つ。PINが流出したということは、少なくとも攻撃者が取り出せる形でどこかにあったことになる。照合さえできればよいPINは、パスワードと同じくハッシュ化して持つのが基本だ
• 未発行の番号とPINを、すぐ使える形でまとめて置かない。売れた時点で有効にする、PINは購入後に本人が決める、といった設計で、漏れても使えないようにできる
• 残高を動かす経路に上限と見張りを置く。短い時間に多くのカードで残高照会や利用が起きたら止める。ギフティの件と同じく、価値を持つ番号はお金と同じ重さで守る
• 公開しているWebサーバーを最新に。今回の入口は「Webサーバーの脆弱性」だった。委託先の環境まで含めて、更新の状況を確かめる

まとめ

• Value CardでID・PIN・残高142万件が流出、うちモスカード113万件。名前や住所、カード情報は含まれない
• 入口はWebサーバーの脆弱性。実被害はないとされる
• モスはPINを強制変更。店頭はそのまま使え、Web照会やアプリ登録でつまずいたら専用窓口へ
• 発行する側は、PINは取り出せない形で、未発行分は漏れても使えない設計に

出典

• ペイクラウドホールディングス「当社連結子会社が提供するシステムへの不正アクセスに関するお知らせ」（2026年10月23日、適時開示。件数、原因、対応）
• ASCII.jp「モスカード、113万件の情報流出　委託先に不正アクセス」（2026年10月26日。モスフードサービスの発表内容）

本記事は2026年10月26日時点の公式発表と報道に基づく。モスカードの手続きは、モスの公式サイトの案内で確かめること。「なぜ番号とPINが重いのか」の後半と「発行する側の教訓」は筆者の見方である。