モス：【重要】第三者の不正アクセスに伴うモスカード情報の流出について

モスフードサービスは2026年10月23日、プリペイド式「モスカード」の情報113万3,070件が流出したと発表した。朝日新聞によれば、同社は10月14〜18日に管理システムへの不審なアクセスを検知したという[s7]。公表の要約が示さなかった流出件数と侵入先について、日本経済新聞は、モスカードのシステム業務を委託するバリューデザインが不正アクセスを受けてカード情報が流出したと伝えている[s6]。朝日新聞は、サーバーの運営・保守を委託する会社のシステムが第三者から不正アクセスを受けたと報じた[s7]。SmartScopeが引用した公式IR開示の整理では、10月14日から18日にかけて委託先システムへの不審なアクセスや不正ログイン試行が検知され、外部プログラムを用いた不正アクセスで情報が流出したとされる[s8]。

流出した情報はカード番号、PIN番号、残高情報である[s7]。日本経済新聞によれば、氏名や住所、クレジットカードなどの個人情報は含まれていない[s6]。件数の内訳は、流通済みカードが約57万件、残りの約56万件は流通していないカードである[s7]。SmartScopeは、発行総数約380万件のうち113万3,070件が流出したと整理している[s8]。mackdaddy.jpは、この件数はカード情報の件数であって被害者の人数ではなく、1人が複数枚を持つ場合もあるため流通済み約57万件も人数とは限らないと説明している[s9]。

日本経済新聞によれば、モスフードサービスは現時点で被害の問い合わせは受けておらず、チャージ額の引き去りなど不明な利用がないか確認するよう利用者に呼びかけている[s6]。SmartScopeも、公表時点で顧客被害の問い合わせは届いていないとされると記している[s8]。会社側は不正利用を防ぐためPIN番号を強制的に変更した[s6]。流通済みカードは店頭やネット注文で引き続き使えるが、公式アプリへの新規登録やWebでの残高確認ができない場合は専用窓口へ問い合わせる必要がある[s6]。SmartScopeによれば、専用窓口の受付時間は9:00〜22:00で、電話番号は10月26日までと27日以降で異なる[s8]。

攻撃者側については、今回の出典にリークサイトへの掲載や犯行声明に関する記載はない。侵入経路や攻撃手法についてmackdaddy.jpは、マルウェアやランサムウェアの使用有無を報道から断定できないとしつつ、今回の件は運用委託先の管理システムへの不正アクセスで、モスバーガーの全店舗のシステムが攻撃されたという発表ではないと整理している[s9]。同サイトによれば、流出に便乗したフィッシングへの注意も必要とされる[s9]。

なお、モスバーガーは10月19日、モスWEB会員の登録メールアドレス宛てに不審なメールが送られているとの情報が寄せられているとして注意喚起を出した[s10]。rocket-boys.co.jpによれば、この告知は不審メールへの注意喚起であり、会員情報の流出やシステム侵害を認定したものではなく、メールアドレスの入手経路も示されていない[s10]。モスカード情報の流出との関係は、これらの出典からは結び付けられていない[s9][s10]。