【10/25最新】店舗のプリペイドカードの仕組み「Value Card」に不正アクセス、カード番号・PIN・残高142万件が流出｜モスカードを持っている人と導入企業がやること

ほかの不正アクセス・情報漏えいは → 不正アクセス・情報漏えい チェッカー（サービス名で検索できます）

10月のほかの不正アクセス・情報漏えいは → 2026年10月の不正アクセス・情報漏えい 国内まとめ

この記事は、ペイクラウドホールディングスの適時開示、バリューデザインのお知らせ、モスフードサービスの発表をもとに、分かっていることと分かっていないことを分けてまとめたものです。報道や他社の分析を使うところは「報道」と書いています。続報が出たら更新します。

最新情報（随時更新）

• 10月25日 21:10ごろ確認：モスフードサービス以外に、Value Cardを導入している企業の公表は確認できていません。バリューデザインは「不正アクセスを確認した一部ご利用企業様へは、対応の進捗について適宜ご報告を行っております」としています［バリューデザイン］。
• 10月23日：ペイクラウドホールディングスが適時開示を出し、バリューデザインもお知らせを掲載しました［ペイクラウドHD 適時開示（PDF）］。
• 10月23日：モスフードサービスが、モスカード情報113万3,070件の流出を発表しました［モスバーガー公式サイト］。

何が起きたか

「Value Card」は、店舗や企業が自社の名前でプリペイドカード（チャージして使うカード。ハウス電子マネーとも言います）を出すための仕組みです。カードの番号や残高はバリューデザインのサーバーで管理されていて、店舗はこの仕組みを借りてカードを発行しています。

ペイクラウドホールディングスの発表によると、このValue Cardのサーバーが第三者に不正アクセスされ、管理していた情報の一部が外部へ流出しました［ペイクラウドHD 適時開示（PDF）］。発表の主な内容は次のとおりです。

どのWebサーバーの、どんな脆弱性だったのかは書かれていません。この記事でも推測では書きません。

時系列

漏れた情報

名前や住所がなくても、カード番号とPINがそろうと、Webでの残高照会やネット注文などで使える場合があります。モスフードサービスは、PINの強制変更を「不正利用防止の観点から」行ったと説明しています。

流出した142万件のうち半分以上は「未発行ID」、つまりお店でまだ売られていないカードの番号です。モスカードでも、流出分のうち約56万件は「未流通カード」とされています。

影響を公表した店舗・サービスの一覧

導入企業の公式ページを開いて確かめたものだけを載せています（10月25日 21:10ごろ時点）。Value Cardは多くの店舗や企業で使われていますが、導入していることと、今回の流出の対象になったことは別です。公表を確認できた企業から足していきます。

ペイクラウドHDの142万4,748件と、モスフードサービスの113万3,070件は、発表した会社も数え方も違います。モスカードの件数が142万件の内数かどうかは、公式の発表には書かれていません。件数を足したり引いたりして、ほかの企業の分を割り出すことはしていません。

モスカードの件は、日本経済新聞や朝日新聞なども報じています［報道：日本経済新聞］。

カードを持っている人がやること

モスカードを持っている人

モスフードサービスは、次のように案内しています［モスバーガー公式サイト］。

1. 店頭・ネット注文・「お席で注文」はそのまま使えます。ただし、PINが変わったため、Webでの残高照会、公式アプリへの新規登録、ネット注文での「モスカード」によるゲスト購入ができない場合があります。そのときは下の窓口に連絡します。
2. 利用履歴を確かめる：覚えのない利用（チャージ額の引き去りなど）がないかを見ます。気になる点があれば窓口に問い合わせます。
3. 問い合わせのとき：簡単な本人確認（利用店舗や残高など）を求められる場合があります。

モスカードお問い合わせ専用窓口（受付時間 9:00〜22:00）：10月26日（月）までは 03-3496-8322、10月27日（火）以降は 0120-395-126（フリーダイヤル）。番号は必ず公式ページで確かめてからかけてください。

ほかのお店のプリペイドカードを持っている人

• カードを出しているお店の公式サイトで、お知らせが出ていないかを確かめます。
• 残高照会のページやアプリで、覚えのない利用がないかを見ます。

偽のメール・SMSに注意

流出したのはカード番号・PIN・残高で、メールアドレスや電話番号は含まれていないとされています。それでも、話題になった事件に便乗して「カードの再登録が必要です」「残高を保護するためPINを入力してください」などと誘う偽のメールやSMSが出回ることがあります。メールやSMSのリンクからカード番号やPINを入力しないでください。確かめるときは、お店の公式サイトやアプリを自分で開きます。

ハウスプリペイド・独自Payを導入している事業者がやること

自社のプリペイドカードやポイントを、Value Cardのような外部の仕組みで運営している事業者向けです。発表の内容と、モスフードサービスが挙げた再発防止策をもとに整理しました。

1. 提供元からの連絡を確かめる：バリューデザインは、不正アクセスを確認した一部の導入企業に個別に報告しているとしています。自社が対象かどうか、対象のID・件数・期間を提供元に確認します。
2. 不正利用の確認：対象期間の取引で、短時間に多数のカードが使われていないか、残高照会やWebチャージに不審なまとまりがないかを見ます。
3. PIN変更や再発行の方針を決める：モスフードサービスは流出分のPINを強制的に変えました。変えると残高照会やアプリ登録に影響が出るため、利用者向けの案内と問い合わせ窓口をあわせて用意します。
4. 未流通カードの扱い：店頭や倉庫にあるまだ売っていないカードの番号も流出の対象になり得ます。販売前に使えなくするか、PINを変えるかを提供元と決めます。
5. 利用者への告知：何が漏れて、何が漏れていないか、利用者が何をすればいいかを書きます。偽メールへの注意もあわせて書きます。
6. 委託先の管理を見直す：モスフードサービスは、委託先のサーバー・システムのセキュリティ水準の再検証、API経由の不正アクセス対策の強化、簡単なパスワード設定の制限、管理アカウントの接続元IPアドレスの制限、監視体制の強化を挙げています［モスフードサービス（PDF）］。自社の管理画面のアカウントやパスワード、接続元の制限も確かめておくと安心です。

今回、ペイクラウドHDは個人情報は「該当なし」としています。ただ、自社のシステムでカード番号と会員情報を結びつけて管理している場合など、事情によって扱いが変わることがあります。個人情報保護委員会への報告が要るかどうかは、個人情報保護委員会のページで確かめてください。

PHPの脆弱性（php2shell）との関係

このサイトでは、10月21日に公表されたPHPの脆弱性「php2shell」を追っています。今回の件について、公式の発表から分かることは次のとおりです。

• ペイクラウドHDの発表は、原因を「Webサーバーの脆弱性」としています。PHPやCVE番号は書かれていません。
• バリューデザインは10月22日、PHPの脆弱性への予防として一部のサービスを止めたと別に告知しています。ただ、そこでは「バリューカードASPサービスは稼働しております」とされ、今回の不正アクセスとの関係には触れていません。
• 流出の確認日（10月19日）と、モスカードの管理システムで不審なアクセスを検知した期間（10月14日〜18日）は、PHPの脆弱性が公表された10月21日より前です。

このため、この記事では今回の件をPHPの脆弱性と結びつけていません。公式の続報で原因がくわしく出たら更新します。同じ時期の別の件として「フューチャーショップへの不正アクセス」もまとめています。

よくある質問

モスカードの名前や住所も漏れたのですか？

モスフードサービスは、流出した情報に氏名、住所、電話番号、クレジットカード情報などの個人情報は含まれていないとしています。漏れたのは、カード番号（16桁）、PIN番号（6桁）、残高情報です。

モスカードの残高は減っていませんか？

モスフードサービスは、発表時点で本件によるお客様被害の問い合わせは届いていないとしています。念のため、利用履歴に覚えのない引き去りがないかを確かめてください。ペイクラウドHDは、発行済IDの不正利用のおそれには対処済みで、不正利用による実被害はないとしています。

モスカードは今までどおり使えますか？

店頭、ネット注文、「お席で注文」での利用は問題ないとされています。Webでの残高照会、公式アプリへの新規登録、ネット注文でのゲスト購入ができない場合は、専用窓口に連絡してください。

自分のPINを変える必要はありますか？

モスカードの場合、流出したカードのPINはモスフードサービスが強制的に変更しています。ほかのお店のカードは、そのお店の案内に従ってください。

ほかにどのお店のカードが対象ですか？

10月25日 21:10ごろの時点で、モスフードサービス以外の導入企業の公表は確認できていません。公表を確認できたら一覧に足します。

原因はPHPの脆弱性ですか？

公式の発表は「Webサーバーの脆弱性」としていて、PHPの記述はありません。くわしくは上の説明をご覧ください。

参考にした情報

• ペイクラウドホールディングス株式会社「当社連結子会社が提供するシステムへの不正アクセスに関するお知らせ」（2026年10月23日、PDF）
• 株式会社バリューデザイン「当社提供システムへの不正アクセスに関するお知らせ」（2026年10月23日）
• 株式会社バリューデザイン「PHPの重大な脆弱性への対応に伴う 一部サービスの一時停止に関するお知らせ」（2026年10月22日）
• 株式会社モスフードサービス「不正アクセスに伴うプリペイドカード情報の流出に関するお知らせ」（2026年10月23日、PDF）
• モスバーガー公式サイト「【重要】第三者の不正アクセスに伴うモスカード情報の流出について」（2026年10月23日）
• モスバーガー公式サイト「【重要】PHPの脆弱性対応に伴う一部サービスの一時停止について」（2026年10月22日）
• 報道：日本経済新聞「モス、プリペイドカード情報113万件流出 委託先で不正アクセス」
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」

あわせて読みたい

緊急情報2026.10.21

【10/25最新】PHP脆弱性「php2shell」とは？修正版公開・影響を受けるバージョンと今すぐやる対策（CVE-2026-109618/109619）

緊急情報2026.10.25

【10/25最新】Laravel（ララベル）に深刻な脆弱性。APIのログインを素通りされ、他人になりすまされるおそれ。対象と修正版・確認方法（CVE-2026-114509）

緊急情報2026.10.25

【10/25最新】AIツール「LiteLLM」の配布版に不正プログラム。パスワードやAPIキーが盗まれるおそれ。対象と確かめ方・今すぐやること（1.107.0）