モスカードの情報流出 — 委託先への不正アクセスでプリペイドカードの番号とPINが漏れた経緯と、会員カードやポイントを外部に任せる企業の3つの対策

モスカードの情報流出とは

2026年10月23日、株式会社モスフードサービスは、プリペイドカード「モスカード」のサーバー運用・保守業務を委託している株式会社バリューデザインのシステムが第三者による不正アクセスを受け、一部のモスカード情報が外部へ流出したと公表しました。流出したのはモスカード番号（16桁）、PIN番号（6桁）、残高情報で、件数は発行総数約380万件のうち113万3,070件です。同社は、本件による業績への影響は軽微と見込んでいます。

同じ日に、バリューデザインの親会社であるペイクラウドホールディングスも、子会社が発行会社に提供するハウス電子マネー発行サービス「Value Card」のサーバーへの不正アクセスを公表しました。原因は、子会社のシステムの一部の環境で、Webサーバーの脆弱性を第三者に悪用されたものと説明しています。最新の動きは、当社の事例速報「モスフードサービスのサイバー攻撃被害」で更新しています。

不審なアクセスの検知から公表までの経緯

委託先が不審なアクセスを検知し始めてから、委託元と委託先の親会社が公表するまでは9日間です。この間に、アクセスの遮断、流出の確認、PIN番号の強制変更が進められています。

流出した情報と、お客様への影響

流出した情報は、モスカードの分とValue Card全体の分に分けて公表されています。Value Card全体の件数はモスカードより多く、モスフードサービス以外の導入企業の名前は公表されていません。

モスフードサービスはお客様に、チャージ額の引き去りなど身に覚えのない利用がないか、利用履歴を確かめるよう求めています。問い合わせの際には、利用した店舗や残高などで簡単な本人確認をする場合があるとしています。

委託先が不正アクセスを受けると、なぜカードの番号とPINまで流出したのか

カードの番号、PIN、残高を管理するサーバーは委託先の側にあり、そこが破られると、カードの価値に直結する情報がまとめて外に出ます。モスカードの事例で起きたことを、公表された内容から3つの面に分けて整理します。

カードの残高を管理するサーバーは、委託先の側にある

モスフードサービスは、モスカードのサーバー運用・保守業務をバリューデザインに委託していました。Value Cardは、店独自の電子マネーを発行したい企業に向けてバリューデザインが提供するサービスで、カードの番号や残高はそのサーバーで管理されています。委託元の店舗やアプリが無事でも、委託先のWebサーバーの脆弱性が入口になれば、委託元のカード情報に手が届く構図だったといえます。

番号とPINがそろうと、カードとして使える組み合わせになる

流出した情報には、カード番号と、その番号に紐づくPIN番号と残高がそろっていました。モスフードサービスはPIN番号の強制変更を不正利用防止の観点からの措置と説明し、ペイクラウドホールディングスも、発行済IDには不正利用のおそれがあったと明かしています。流出の半分ほどはお客様の手に渡る前の未流通カードで、まだお客様の手元にないカードの情報も、守るべき対象に含まれていたことが分かります。

個人情報がなくても、お客様の手間と問い合わせは生じる

流出した情報に、氏名や住所などの個人情報は含まれていませんでした。それでもPIN番号の変更によって、Webでの残高照会や公式アプリへの新規登録ができなくなるお客様が出るため、同社は専用窓口を開き、9時から22時まで受け付けています。お金の価値を持つカードの情報は、個人情報と同じ重さで事故の後の対応が要ると考えておくべきでしょう。

会員カードやポイントの仕組みを外部に任せる企業が狙われる理由

会員カード、ポイント、プリペイドの仕組みが狙われるのは、1つの提供元に多くの発行企業のカード情報が集まり、そのまま金銭の価値に換えられる情報が含まれるからです。中小の飲食店や小売店でも、自社でサーバーを持たず、カードの発行から残高の管理までを専門の事業者に任せる例は少なくありません。当社代表の青山は、総合解説「サプライチェーン攻撃の起点は中小企業にある」で、委託先との契約には事故の時の報告期限、再委託の承認、契約を終えた時のデータの削除まで書き込むよう勧めています。POSと連携した外部アプリから店舗の顧客情報が流出したサカイサイクルの事例と同じく、任せた仕組みの守りも、委託元が確かめる範囲に入ります。

会員カードやポイントの情報流出を防ぐには？外部に任せる企業が取るべき3つの対策

会員カードやポイントの仕組みを外部に任せる企業が優先したいのは、①委託先のシステムに何のデータがあり、脆弱性への対応と監視をどうしているかを契約と定期の報告で確かめる、②番号とPINで使える仕組みに、試行の回数と速さの上限、接続元の制限を入れてもらう、③流出が分かった日に、PINの一括変更とお客様への案内を同時に動かす段取りを決める、の3つです。①は入口をふさぐため、②は漏れた情報や総当たりで使われないため、③は事故の後にお客様を待たせないための備えになります。

対策1：委託先のシステムに何のデータがあり、脆弱性への対応と監視をどうしているかを、契約と年1回の報告で確かめる

会員カードやポイントを外部に任せるとき、最初に押さえたいのは、委託先のどのサーバーに自社のどのデータがあり、それを誰がどう守っているかです。モスカードの事例では、委託先のWebサーバーの脆弱性が悪用されました。モスフードサービスは再発防止策の1つ目に、委託先のサーバーやシステムのセキュリティ水準の再検証と、管理・監督体制の強化、セキュリティ監査の徹底を挙げています。

IPAの「ECサイト構築・運用セキュリティガイドライン」は、個人情報保護委員会の調査として、不正アクセスの被害を受けたECサイトの事業者のうち、運用や保守を外部に委託していた事業者の44%が、契約書や仕様書にセキュリティ対策を書いていなかったと紹介しています。同じガイドラインは、外部委託先への丸投げをやめ、対策が契約どおり実施されているかを確かめ続けるよう求めました。委託先に尋ねる項目は、次の表のとおりです。

判断の目安は、「委託先に事故が起きた日に、自社のどのデータが影響を受け得るかを、その日のうちに言える」状態です。落とし穴は、カードの発行サービスを「パッケージの利用」と考え、委託先との取り決めを利用規約に任せきりにすることにあります。経営者と販促の責任者で半日ほどかけて取り決めを見直し、その後は年1回の報告を読む時間を取れば回ります。

対策2：番号とPINで使える仕組みに、試行の回数と速さの上限、管理画面の接続元の制限を入れてもらう

2つ目は、番号とPINを入れれば使える仕組みを、大量の試行や外部のプログラムから守ることです。モスカードの事例では、委託先が5日にわたって不審なアクセスや不正ログイン試行を検知しており、流出は外部プログラムを用いた不正アクセスによるものと説明されています。モスフードサービスは再発防止策に、API経由の不正アクセス制御の強化、簡易で高リスクなパスワード設定の制限、管理アカウントの接続元IPアドレスの制限を挙げました。

IPAのECサイトのガイドラインは、総当たり攻撃に備えて、入力の間違いが一定の回数（10回以下を推奨）を超えたらアカウントをロックすることを求めています。特定のIPアドレスからの大量のアクセスがあれば、アクセスログを確かめて制限をかけることも勧めています。委託先と次の5つを取り決めておくと、番号とPINの仕組みを大量の試行から守りやすくなります。

1. 残高照会、チャージ、アプリへの登録など、番号とPINを入れる画面とAPIを一覧にする
2. 同じ番号への入力の間違い、同じ接続元からの照会の回数と速さに上限を設け、超えたら止める
3. 管理画面と管理用のAPIに入れる接続元を、委託先と自社の決まった場所に限る
4. 未流通の在庫カードの番号とPINも、流通済みのカードと同じ水準で守り、使えるようにするのは販売の時点にする
5. 番号やPINの入力の誤りが急に増えたとき、委託先から自社にも知らせが届くようにする

判断の目安は、「外部のプログラムで番号とPINを大量に試されても、数回で止まり、その日のうちに自社にも知らせが来る」ことです。陥りやすいのは、お客様の使い勝手を優先してロックの基準を緩めたまま、照会の数の急な増え方を誰も見ていない状態でしょう。販促の担当者が委託先と1〜2回打ち合わせれば取り決めはまとまり、キャンペーンなどで照会が増える時期の前に、上限の値を見直します。

対策3：流出が分かった日に、PINの一括変更とお客様への案内を同時に動かす段取りを決めておく

3つ目は、番号とPINが漏れたと分かった日に、使えなくする手当てとお客様への説明を同じ日に進められるようにしておくことです。モスフードサービスは、流出したカード番号に紐づくPIN番号を強制的に変え、店頭やネット注文での利用は問題ないこと、Webでの残高照会などができない場合は専用窓口に連絡することを、公表と同時に案内しました。利用履歴の確認の呼びかけと、問い合わせの際の簡単な本人確認の方法も、あわせて示しています。

会員カードやポイントで同じ事態になったとき、委託元が決めておきたいことは次の5つです。

1. PINや暗証番号の一括変更、カードの利用停止を、誰の判断で委託先に指示し、何時間で終えられるかを決めておく
2. 変更の後にお客様ができなくなる操作（残高照会、アプリの登録、ネットでの利用など）を洗い出し、案内の文に書く
3. 問い合わせ窓口の受付時間、電話番号、増員の手配と、利用店舗や残高などで行う本人確認の方法を決める
4. 店舗のスタッフが店頭で答えるための想定問答を用意する
5. 店やカードの名前を装った偽のメールやSMSに注意する文と、公式サイトに載せる場所を決める

判断の目安は、「流出を確かめた日から数日のうちに、PINの変更、お客様への案内、窓口の開設がそろって動き出す」ことです。落とし穴は、委託先の調査の結果を待つあいだ、カードの手当てとお客様への説明のどちらも始まらないことにあります。個人情報が含まれない流出でも、カードの価値に関わる以上、お客様への説明は委託元の名前で出すことになるため、案内の文は委託先と事前にすり合わせておくと速くなります。手順書は経営者、販促、店舗運営の責任者で半日ほどあれば作れ、年1回、窓口の番号と委託先の連絡先を確かめ直すと安心です。

モスカードの事例で見えた課題と、ガーディアンの支援の対応表

この事例の課題のうち、Webの入口とお客様への案内に関わる部分は、当社の診断と運用で受け止められます。課題ごとに、確かめる場所と支援を並べました。

委託先と提携先の公開Webを、まず SCAN DOG ライト版で外から洗い出す

店の周りには、会員カード、ポイント、決済、予約など、外部の事業者の仕組みがいくつもつながっています。SCAN DOG ライト版は、それらの事業者の公開WebのURLを一覧でお預かりし、SSLの状態、管理画面やログインIDの露出、CMSの更新状態などを外から診断します。外から見た状態がそのまま、委託先との打ち合わせの共通の材料になるでしょう。自社の会員ページやキャンペーンの応募ページのように改修の多い画面は、SCAN DOG 正規版で決めた頻度の診断に切り替えると、変化を見続けられます。

案内を探しに来るお客様の入口と、店の名前を守る

カードの手当てを急ぐ日に、お客様が真っ先に開くのは店の公式サイトです。SCSC Dog は、公式サイトの更新から24時間365日の有人監視、障害時の復旧までを当社が受け持つため、窓口の番号や利用の可否をすぐ載せ替えられます。この基盤は直近365日の稼働率が99.99994%（当社集計）です。店のドメインを名乗る偽のメールに備えた SPF・DKIM・DMARC の設定も、同じサービスの中で整います。

SCS評価制度で問われる、外部サービスの要件と事故時の役割

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、経済産業省などが進める任意の制度で、企業の対策の水準を★の数で表します。★3・★4の申請受付は2026年度末に始まる予定です。取引そのものを規制する制度ではありませんが、決済やポイントの仕組みを外部に任せる企業ほど、取引先から任せ方の説明を求められる場面は増えていくと考えられます。

今回の事例に関わるのは、★3の要求事項「3-1-3 外部情報サービスの管理」と「2-1-4 セキュリティインシデント発生時の役割・責任」です。前者の評価基準は、外部情報サービスを使う際のセキュリティ要件を先に定め、使うときにサービスの内容がそれを満たしているか確かめること、提供事業者と機密情報の扱いの合意を取り交わすことを挙げています。後者は、機密情報を共有する取引先との間で、事故が起きた時の双方の役割と責任を定めておくことを求めるものです（IPA「★3・★4 要求事項・評価基準」）。対策1の確認の表と対策3の段取りは、この2つへの備えにつながります。制度の全体像はSCS評価制度への対応で整理しています。

まとめ

モスカードの事例では、サーバー運用・保守の委託先のシステムで、Webサーバーの脆弱性を悪用され、カード番号、PIN番号、残高情報113万3,070件が流出しました。個人情報は含まれておらず、モスフードサービスはPIN番号の強制変更と専用窓口の開設で対応しています。

会員カード、ポイント、決済の仕組みを外部に任せる企業が、今日から進めたいのは次の3つです。

• 委託先のどのサーバーに自社のどのデータがあるかと、脆弱性への対応、監視、事故の時の連絡の期限を、年1回の報告で確かめる
• 番号とPINを入れる画面とAPIに、試行の回数と速さの上限、管理画面の接続元の制限を入れてもらう
• PINの一括変更、お客様への案内、窓口の開設を同じ日に動かす手順書を、委託先とすり合わせておく

お客様が案内を探しに来る公式サイトの守りの基本がどこまでできているかは、77's Check!! で無料で確かめられます。

よくある質問

あわせて読みたい

• 
  総合解説

  サプライチェーン攻撃の起点は中小企業にある
• 
  事例一覧

  2026年 日系企業のサイバー被害事例一覧
• 
  SCS評価制度

  SCS評価制度への対応