要点
発表された事実
- 日本ピザハットは2026年10月23日、2026年10月19日に第三者が日本国内向けオンライン注文サービスに関連する決済API（システム間で決済関連情報をやり取りする仕組み）に不正アクセスし、お客様情報等を含むデータベースから一部の情報を取得したことを確認したと発表した（日本ピザハット）。
- 漏えいが確認された情報は、お客様ID、メールアドレス、電話番号、削除済みのお客様情報に関する記録、セッションログイントークン、取引記録。クレジットカード情報は含まれていない（同）。
- 攻撃元IPアドレスのブロック、脆弱性への対応、個人情報保護委員会への速報を実施した。原因と影響範囲の詳細は調査中。二次被害は確認されていない（同）。
- 公式発表に件数の記載はない。ANNは、漏えいは最大約448万件で、氏名や住所は含まれていないと報じた（ANN（Yahoo!ニュース））。
わかっていないこと
- 漏えいした件数（公式発表では未公表。報道では最大約448万件）
- 決済APIのどの脆弱性・どの設定の問題が使われたのか
- 「セッションログイントークン」が有効なまま取得されたのか、無効化したのか、なりすましログインに使われた形跡はあるか
- 「取引記録」に含まれる項目（注文内容、配達先、決済手段の種別など）
- 決済APIを提供・運用しているのが自社か外部の事業者か
- 不正アクセスが10月19日だけだったのか、それ以前から続いていたのか
関係しそうな既知の手口
- （考察）決済APIのようにシステム同士がやり取りする入口から顧客データベースの情報が取れた形は、APIの認可（誰にどのデータを返すかの確認）の不足で起きる被害と似ている。JPCERT/CCは国内で相次ぐ不正アクセスについて、内部APIの不正な呼び出しなどの例を挙げて注意を呼びかけている。ただし、ピザハットの件で同じ手口が使われたかどうかは発表されていない。
概要
- 宅配ピザのピザハットで、オンライン注文に関わる決済APIが不正アクセスを受け、顧客のメールアドレスや電話番号、ログイン状態を保つためのトークンなどが取られた。
- カード情報は対象外。報道では最大約448万件とされるが、会社は件数を公表していない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-19（月） | 第三者が決済APIに不正アクセスし、お客様情報等を含むデータベースから一部の情報を取得（日本ピザハット） |
| 2026-10-23（金） | 公表。攻撃元IPのブロック、脆弱性への対応、個人情報保護委員会への速報を実施済みと説明（日本ピザハット） |
発表内容の整理
事実（日本ピザハットの発表）
| 項目 | 内容 |
|---|---|
| 対象 | 日本国内向けオンライン注文サービスに関連する決済API |
| 漏えいした情報 | お客様ID、メールアドレス、電話番号、削除済みのお客様情報に関する記録、セッションログイントークン、取引記録 |
| 含まれないもの | クレジットカード情報 |
| 件数 | 公式発表では未記載（ANNは最大約448万件と報道） |
| 対応 | 攻撃元IPのブロック、脆弱性への対応、個人情報保護委員会への速報 |
| 二次被害 | 確認されていない |
| 窓口 | 0120-679-023（10:00〜19:00） |
考察
漏えいした項目の中で目を引くのは「セッションログイントークン」だ。これはログインした状態を保つための値で、有効なまま他人の手に渡ると、パスワードを知らなくてもそのアカウントとしてサイトを使える場合がある。発表はトークンを無効にしたかどうかに触れていない。会社がトークンを失効させていれば利用者側の影響は小さくなるので、続報で明らかにしてほしい点だ（考察）。
「削除済みのお客様情報に関する記録」も含まれている。退会や削除をしたつもりの利用者の情報が、何らかの形でデータベースに残っていたことになる。どこまでの内容が残っていたのかは書かれていない（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは2026年10月8日（9日更新）、国内組織で相次ぐ不正アクセスについて注意喚起を出した。公開アプリの解析によるAPIのエンドポイントやキーの特定、本来の画面操作ではできない内部APIの呼び出し、NoSQLインジェクションなどの手口を挙げ、APIのレート制限やエンドポイントごとのアクセス制御を求めている（JPCERT/CC）。
考察
決済用のAPIは、注文画面から呼ばれる前提で作られ、外から直接呼ばれることへの備えが薄くなりがちだ。会社は「脆弱性への対応」を実施したとしているので、API側に何らかの欠陥があったと読める。ただし、それが認可の不足なのか、入力値の処理の問題なのかはわからない（考察）。
利用者・運用者がいまできること
- ピザハットのオンライン注文を使っている人は、ピザハットを名乗るメール・SMS・電話のリンクを開かず、パスワードやカード情報を入力しない。
- 念のため、ピザハットのアカウントから一度ログアウトし、パスワードを変更しておく（会社はパスワードの漏えいには触れていない）。
- 決済APIを持つ事業者は、APIが「誰のデータを返してよいか」を呼び出しごとに確かめているか、セッショントークンをデータベースに平文で保存していないかを点検する。