モスカード／Value Card ― 電子マネー基盤からカード番号・PINが流出

要点

発表された事実

ペイクラウドホールディングス（東証グロース 4015）は2026年10月23日、連結子会社バリューデザインが発行会社に提供するハウス電子マネー発行サービス「Value Card」のサーバーに第三者の不正アクセスがあり、管理している情報の一部が外部へ流出したと発表した。確認日は10月19日（ペイクラウドHD 適時開示（PDF））。
流出したのはID番号・PIN番号・残高情報の1,424,748件。内訳は発行済ID 569,224件、未発行ID（利用者が購入する前のID）855,524件。個人情報は含まれない（同）。
原因は「子会社のシステムの一部の環境において、Webサーバーの脆弱性を第三者に悪用された」こと。発行済IDの不正利用のおそれには対処済みで、不正利用による実被害はないとしている。対処に伴って一部の利用に不便が出る場合がある（同）。
同じ10月23日、モスフードサービスは、プリペイドカード「モスカード」のサーバーの運用・保守を委託するバリューデザインのシステムが不正アクセスを受け、モスカード番号（16桁）・PIN番号（6桁）・残高情報が流出したと公表した。発行総数約380万件のうち113万3,070件（流通済み約57万件、未流通約56万件）。氏名・住所・電話番号・クレジットカード情報は含まない（モスフードサービス適時開示（PDF）、モスバーガー公式サイト）。
モスフードサービスによると、バリューデザインは10月14日から18日にかけてモスカードの管理システムへの不審なアクセスや不正ログインの試みを検知して遮断し、調査で「外部プログラムを用いた不正アクセス」による流出を確認した。流出したカードのPINは強制的に変更した。発表時点で被害の問い合わせはない（同）。

わかっていないこと

悪用された「Webサーバーの脆弱性」の具体的な内容と、10月21日に公表されたPHPの重大な脆弱性との関係
不正アクセスが始まった時期と、ID・PINを取られた経路（管理システムへの不正ログインか、Webサーバーの脆弱性か、その両方か）
142万件のうちモスカード以外の約29万件が、どの発行会社のカードにあたるのか（モス以外の導入企業の公表）
PINが平文や復元できる形で保存されていたのかどうか
発行済IDへの「対処」の具体的な内容（PIN変更・残高移行など）と、不正利用が本当にゼロだったと言える根拠

関係しそうな既知の手口

（考察）カード番号とPINの組がそろうと、Webの残高照会やアプリ登録、オンライン決済でそのまま使える。氏名などがなくても「お金として使える情報」を狙った攻撃にあたる。モスフードサービスが再発防止策に「API経由の不正アクセスの制御」「簡易・高リスクなパスワードの制限」「管理アカウントの接続元IPの制限」を挙げていることから、管理画面やAPIへの入り口が攻撃面になったと読めるが、経路は公表されていない。

概要

店舗や企業が自社ブランドで出すプリペイドカード（ハウス電子マネー）の発行基盤が攻撃され、カード番号・PIN・残高が約142万件流出した。
最大の導入企業として公表したのはモスフードサービスで、モスカード113万件のPINを強制変更した。
個人情報は含まれないが、番号とPINがそのまま「支払い手段」になるため、発行会社側の対処が被害の有無を分ける。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2026-10-14〜18	バリューデザインがモスカード管理システムへの不審なアクセス・不正ログインの試みを検知し、遮断（モスフードサービス）
2026-10-19	Value Cardの情報流出を確認（ペイクラウドHD）
2026-10-21	PHPの重大な脆弱性2件（CVE-2026-109618／109619）が公表（バリューデザイン 10/22お知らせ）
2026-10-22	バリューデザインが予防措置として「アララキャッシュレス」「オンラインチャージサービス」を停止（バリューカードASPサービスは稼働と説明）。モスフードサービスも同日、PHP脆弱性対応としてアプリのdアカウント連携とモスカードWebチャージを停止（モスバーガー公式サイト）
2026-10-23	ペイクラウドHDが適時開示、バリューデザインがお知らせ。モスフードサービスも適時開示と利用者向けのお知らせ

発表内容の整理

事実（ペイクラウドHD・バリューデザインの発表）

項目	内容
対象サービス	ハウス電子マネー発行サービス「Value Card」のサーバー
流出情報	ID番号・PIN番号・残高情報
件数	1,424,748件（発行済569,224件、未発行855,524件）
個人情報	該当なし
原因	一部環境のWebサーバーの脆弱性を第三者に悪用された
対応	経路の遮断、発行済IDの不正利用のおそれへの対処、関係機関への報告。外部専門機関と全サービスの脆弱性を再点検し、攻撃情報を利用企業・関係機関と共有。一部の利用企業には進捗を随時報告
業績影響	精査中

事実（モスフードサービスの発表）

項目	内容
流出情報	モスカード番号（16桁）・PIN番号（6桁）・残高情報
件数	発行総数約380万件のうち113万3,070件（流通済み約57万件、未流通約56万件）
対応	流出したカードのPINを強制変更。店頭・ネット注文・「お席で注文」は従来どおり利用可
利用者への影響	Webの残高照会、公式アプリへの新規登録、ネット注文でのモスカードによるゲスト購入ができない場合は専用窓口（03-3496-8322、10月27日以降は0120-395-126、9:00〜22:00）へ
再発防止	委託先の管理強化、API経由の不正アクセスの制御強化、簡易・高リスクなパスワードの制限、管理アカウントの接続元IP制限、監視の強化
業績影響	軽微の見込み

TBSの報道によると、モスフードサービスは公表が遅くなった理由を「PINの強制変更や被害範囲の確定に時間がかかった」と説明している（TBS NEWS DIG（Yahoo!ニュース））。

考察

2社の説明は原因の書き方が違う。モスフードサービスは「管理システムへの不正ログインの試み」と「外部プログラムを用いた不正アクセス」を挙げ、ペイクラウドHDは「Webサーバーの脆弱性の悪用」としている。どちらか一方が誤りというより、脆弱性で入口を得たうえでプログラムでデータを引き出した、あるいは段階の違う複数の攻撃があった可能性がある。ただし、両社とも経路の詳細は出していない（考察）。

件数の差（142万件と113万件）からは、モスカード以外のValue Card発行会社のカードも約29万件含まれると読める。ペイクラウドHDは「一部ご利用企業」に報告しているとするが、ほかの発行会社名は出ていない。自分の持つ店舗独自のプリペイドカードがValue Cardで動いているかは、利用者からは分かりにくい（考察）。

未流通カードが半数を占める点も目立つ。店頭に並ぶ前のカードの番号とPINが知られていれば、購入・チャージ後に残高を抜かれるおそれがある。発行会社が未流通分をどう無効化・再発行するかが重要になる（考察）。

関係しそうな既知の手口

事実（既知の知見）

バリューデザインは10月22日、PHPの重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619、CVSS 4.0 基本値9.2、認証なしで任意のプログラム実行のおそれ）を受けて一部サービスを予防的に停止したと公表している（バリューデザイン）。この脆弱性についてはPHP2Shellの記事で整理している。
JPCERT/CCは2026年10月8日（10月23日にも更新）、国内組織で相次ぐ不正アクセスについて注意喚起を出し、公開アプリの解析によるAPIの特定、内部APIの不正な呼び出しなどの手口を挙げている（JPCERT/CC）。

考察

Value Cardの流出確認は10月19日で、PHPの脆弱性公表（10月21日）より前になる。両社とも今回の不正アクセスとPHPの脆弱性の関係には触れておらず、時期だけを見ると直接の関係を示す材料はない。モスフードサービスの再発防止策にパスワード制限と接続元IP制限が入っていることから、管理アカウントへのパスワード推測やAPIの悪用が絡んだ可能性もあるが、推測の域を出ない（考察）。

利用者・運用者がいまできること

モスカードを持っている人は、公式アプリや残高照会で覚えのない引き去りがないか確かめる。Webの残高照会やアプリ登録ができない場合はモスフードサービスの専用窓口へ。
モス以外の店舗のプリペイドカードを使っている人は、発行元のお知らせを確かめる。カード番号やPINを入力させるSMS・メールのリンクは開かない。
ハウス電子マネーやポイントを外部の基盤で運営している事業者は、番号とPINの保存方式（復元できない形か）、管理画面・APIの接続元制限、未流通カードの扱いを委託先に確かめる。

参考リンク

原文をGitHubで読む ↗