要点
発表された事実
- 株式会社Yeny（TISインテックグループ）は2026年11月12日、同社が管理する会員情報の一部に第三者による不正アクセスがあり、「電話番号」と「会員ID（当社固有のもの）」が流出したと発表した（Yeny）。
- 10月31日に同社が接続する特定の事業者から不審なAPIコールが発生したとの連絡を受けて調べ、同社のAPI接続設定の不備によって電話番号を含む会員情報の一部が漏えいしたことを確認した（同）。
- 対象は「ultra pay カード」「アスルクラロ沼津Pay- by PayBlend」「巫神こんPay- by PayBlend」「東芝ブレイブルーパス東京Pay- by PayBlend」の4サービスで、1,332,505件（退会者を含む）（同）。
- クレジットカード番号等の決済情報の漏えいは確認されておらず、漏れた情報だけではアプリへの不正ログインや決済には使えないとしている（同）。
- 11月6日に関東財務局と個人情報保護委員会へ報告した。対象者にはアプリ内のお知らせ欄で案内する（同）。
わかっていないこと
- 「API接続設定の不備」の具体的な中身（認証の欠落、権限範囲の誤り、接続先の取り違えなど）。
- 不審なAPIコールを行ったのが誰か（接続先事業者の環境を経由したのか、外部の第三者か）と、その期間。
- 設定不備がいつから存在していたか。
- 接続先の「特定の事業者」がどこか。
関係しそうな既知の手口
- （考察）APIの認可や設定の不備から会員情報を大量に取られる事例は、よーじややDIRIGIO「PICKS」など国内で続いている。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-10-31 | 接続先の事業者から不審なAPIコールの連絡。初期調査を開始 | Yeny |
| 2026-11-02 | 同事業者から電話番号漏えいの可能性の連絡。API接続の設定不備が原因と確認し、緊急メンテナンスで対応 | 同 |
| 2026-11-03〜04 | 原因と影響の詳細調査 | 同 |
| 2026-11-05 | 電話番号と会員IDの漏えいを確認 | 同 |
| 2026-11-06 | 関東財務局と個人情報保護委員会に報告 | 同 |
| 2026-11-12 | 公表 | 同 |
発表内容の整理
事実（Yenyの11月12日の発表による）
| 項目 | 内容 |
|---|---|
| 原因 | 同社のAPI接続設定の不備 |
| 漏えいした情報 | 電話番号、会員ID（同社固有） |
| 対象サービス | ultra pay カード、アスルクラロ沼津Pay、巫神こんPay、東芝ブレイブルーパス東京Pay（いずれもby PayBlend） |
| 件数 | 1,332,505件（退会者を含む） |
| 対象外 | クレジットカード番号等の決済情報（漏えいは確認されていない） |
| 対応 | 設定の是正、監視・検知体制の見直し、対象者へのアプリ内通知 |
出典：Yeny「不正アクセスによる会員情報の漏えいに関するお詫びとお知らせ」（2026-11-12）
考察
- 発覚のきっかけが自社の検知ではなく接続先からの連絡だった点は重要だ。外部事業者とつなぐAPIで、相手側のふるまいや呼び出し量を自社でも監視していれば、より早く気づけた可能性がある。
- 電話番号と会員IDだけでも、退会者を含む130万件超がまとまれば、決済サービスを装ったSMSフィッシングの宛先リストとして価値がある。「漏れた情報だけでは不正ログインできない」としても、SMS認証コードをだまし取る手口には注意が要る。
- 前払式支払手段と資金移動業を営む事業者として関東財務局へも報告しており、決済事業者のAPI連携の管理が今後問われる可能性がある。
利用者・運用者がいまできること
- 利用者：Yenyや各Payを名乗るSMS・電話でパスワード、カード情報、SMS認証コードを求められても応じない。アプリのお知らせ欄で対象かどうかを確認する。
- 運用者：外部事業者向けAPIで返す項目と、接続先ごとの権限範囲を棚卸しする。退会者のデータが返せる状態になっていないか確認する。
- API呼び出しの量や対象の偏りを自社側でも監視し、接続先からの連絡を待たずに異常を検知できるようにする。