株式会社モスフードサービスのサイバー攻撃被害｜委託先のバリューデザインに不正アクセス、「モスカード」の番号・PIN番号・残高情報113万3,070件が流出
AI要約・精査
AI
要約
AI
精査
AI要約
AI精査
ChatGPTによるAI精査
GeminiによるAI精査
速報サイバー攻撃の被害事例最終更新 2026年10月25日
株式会社モスフードサービス（モスカード）委託先のバリューデザインに不正アクセス、「モスカード」の番号・PIN番号・残高情報113万3,070件が流出
- サプライチェーン攻撃
- システム脆弱性を狙った攻撃
- 不正アクセス
状況対応中（PIN番号の強制変更は実施済み）
被害発生日2026年10月14日
企業名株式会社モスフードサービス
この事例の要点
「モスバーガー」を運営するモスフードサービスは、プリペイドカード「モスカード」のサーバー運用・保守を委託しているバリューデザインのシステムが第三者による不正アクセスを受け、カード番号・PIN番号・残高情報113万3,070件が外部へ流出したと発表しました。流出した情報に、お客様の氏名や住所、クレジットカード情報などの個人情報は含まれていません。流出したカード番号に紐づくPIN番号はすでに強制的に変更しており、店頭・ネット注文・「お席で注文」での利用は問題ないとしています。
最新の動き
- 2026年10月23日最新 モスフードサービスが適時開示で公表。流出したモスカード番号に紐づくPIN番号を強制的に変更し、モスカードお問い合わせ専用窓口を案内。 出典
- 2026年10月23日 委託先の親会社ペイクラウドホールディングスが公表。ハウス電子マネー発行サービス「Value Card」のサーバーへの不正アクセスで、ID番号・PIN番号・残高情報1,424,748件が流出したと説明。原因は、Webサーバーの脆弱性を第三者に悪用されたものとしている。 出典
- 2026年10月19日 バリューデザインで情報の流出を確認（ペイクラウドホールディングスの発表の「確認日」）。
- 2026年10月14日〜18日 バリューデザインが、モスカードの管理システムへの不審なアクセスや不正ログイン試行を検知。直ちにアクセス遮断などの緊急措置を実施。
分かっていること・まだ公表されていないこと
分かっていること
- 流出したのは、モスカード番号（16桁）、PIN番号（6桁）、残高情報
- 対象は、発行総数約380万件のうち113万3,070件（うち、流通済みカード約57万件／未流通カード約56万件）
- お客様の氏名、住所、電話番号、クレジットカード情報等の個人情報は含まれていない
- モスフードサービスは「外部プログラムを用いた不正アクセス」により流出したと説明。ペイクラウドホールディングスは、子会社のシステムの一部の環境でWebサーバーの脆弱性を第三者に悪用されたものとしている
- 現時点で、本件に起因するお客様被害の問い合わせは届いていない
- 店頭・ネット注文・「お席で注文」での利用は問題ない。Web上での残高照会、公式アプリへの新規登録、ネット注文でのモスカードによるゲスト購入ができない場合は、専用窓口へ連絡するよう案内している
- 不明な利用（チャージ額の引き去り等）がないか、利用履歴の確認を呼びかけている
- ペイクラウドホールディングスの発表では、Value Card全体で流出したのは1,424,748件（発行済ID 569,224件、未発行ID 855,524件）。発行済IDの不正利用のおそれには対処済みで、不正利用による実被害はないとしている
- モスカードお問い合わせ専用窓口は、10月26日（月）まで 03-3496-8322、10月27日（火）以降 0120-395-126（受付時間 9:00〜22:00）
まだ公表されていないこと
- 悪用されたWebサーバーの脆弱性の内容と、侵入の詳しい経路
- Value Cardを導入しているモスフードサービス以外の企業と、その件数の内訳
- 再発防止策（委託先の管理体制の強化、認証とアクセス権限の見直し、監視の強化）を実施する時期
事例の概要
| 企業名 | 株式会社モスフードサービス |
|---|---|
| 被害発生日 | 2026年10月14日 |
| 被害の内容 | プリペイドカード「モスカード」のサーバー運用・保守を委託している株式会社バリューデザインのシステムが第三者による不正アクセスを受け、モスカード番号（16桁）、PIN番号（6桁）、残高情報が、発行総数約380万件のうち113万3,070件流出（うち、流通済みカード約57万件／未流通カード約56万件）。お客様の氏名、住所、電話番号、クレジットカード情報等の個人情報は含まれていない |
| 出典 | 株式会社モスフードサービス「不正アクセスに伴うプリペイドカード情報の流出に関するお知らせ」（2026年10月23日・適時開示） |
対策に向けたガーディアンの見解
1委託先が運用するシステムも、自社のデータの置き場所として把握する
モスカードの情報は、モスフードサービス自身のシステムではなく、サーバーの運用・保守を委託している会社のシステムから流出しました。プリペイドカードやポイント、会員の仕組みを外部に任せている企業は、委託先のどのサーバーに何のデータがあり、脆弱性への対応やアクセスの監視をどう行っているかを、契約や定期的な報告で確かめておくと、万一のときも影響の範囲をすぐにつかめます。
2番号と暗証番号の組み合わせを、すぐに切り替えられる仕組みにしておく
今回は、カード番号とPIN番号、残高情報がまとめて流出しましたが、PIN番号を強制的に変更することで不正利用を防ぐ手を打っています。番号と暗証番号で使えるサービスを持つ企業は、一括で暗証番号を変える手順と、変更後に残高照会や新規登録で困るお客様への案内をあらかじめ用意しておくと、判明から対応までを短くできます。
3管理システムとAPIの入口を絞り、試行の回数に上限を設ける
モスフードサービスは再発防止策として、API経由の不正アクセス制御の強化、簡易で高リスクなパスワード設定の制限、管理アカウントの接続元IPアドレス制限を挙げています。自社や委託先の管理画面・APIでも、接続できる場所を限り、ログインや照会の回数と速さに上限を設けておけば、外部のプログラムによる大量の試行を受けにくくなります。
詳しい解説と対策（WEB戦略ラボ）
モスカードの情報流出｜委託先への不正アクセスの経緯と会員カードを任せる企業の3つの対策
企業がするべきセキュリティ対策については
サプライチェーン攻撃の起点は中小企業にある
ランサムウェアのカラクリと、ホームページ・メール・ブラウザ「3つの接点」の対策をまとめて解説しています。
対策の解説を読む
SOLUTION
GUARDIANの
サイバーセキュリティ
対策サービス
サイバーセキュリティ
対策サービス
SCAN DOG ライト版
まずは大企業が保有する取引先（中小企業）数千社規模をライト版で一斉に簡易診断し、現状把握しましょう！経済産業省も推進する『サプライチェーン強化に向けたセキュリティ対策評価制度』にも対応した、自己評価・第三者評価をクリアにし、次なる対策「SCSC Dog」で課題を解決していきましょう。
SCSC Dog
診断によって現状把握を終えた取引先（中小企業）には、評価という結果＝課題だけが残ります。その解決策として、同時にご提供するのがSCSC Dogとなります。セキュリティ対策に特化した弊社WEBプラットフォーム上に、取引先（中小企業）ホームページをお預かりしサプライチェーン網をこれまで以上に強固なものへ引き上げます。
SCAN DOG 正規版
WEBプラットフォームとして安全を確保して終わりではありません。SCSC Dogご利用のお客様ホームページには、世界水準で最新鋭の攻撃パターンを網羅した第三者機関による診断サービス「SCAN DOG 正規版」を定期的に受け続けることができ、一時的な対策だけではなく恒久的に保全し続ける環境をご提供します。