モスカードで約113万件の情報流出｜PIN番号・残高・チャージへの影響を整理

モスバーガー「モスカード」113万3,070件が流出、PIN番号・残高情報も-委託先のサーバへのサイバー攻撃で
https://t.co/1Sq8UfWR1o #セキュリティ対策Lab #security #securitynews #セキュリティ #セキュリティニュース
— セキュリティ対策Lab (@securityLab_jp) October 24, 2026

https://x.com/securityLab_jp/status/2113909404986970198?s=20

2026年10月23日、モスバーガーを運営するモスフードサービスは、プリペイドカード「モスカード」の情報113万3,070件が外部へ流出したと発表しました。サーバーの運用・保守を委託しているバリューデザインが第三者から不正アクセスを受けたことによるものです。

流出したのは16桁のモスカード番号、6桁のPIN番号、残高情報です。氏名や住所、クレジットカード情報は含まれていないと発表されています。

モスフードサービスは不正利用を防ぐため、対象となったカードのPIN番号を強制的に変更しました。店頭やネット注文での支払いは引き続き利用できますが、Web上の残高照会や公式アプリへの新規登録など、一部の操作ができなくなる場合があります。

また、10月22日には別のセキュリティ対策として、モスカードのWebチャージを一時停止することも発表されています。

この記事では、モスカードの情報流出の対象と漏れた情報、PIN番号変更後の対応、チャージ済みの残高や支払いへの影響、利用者が確認しておきたいこと、専用問い合わせ窓口を整理します。

モスカード約113万件の情報流出と利用者への影響

モスカード約113万件の情報流出と利用者への影響

今回の不正アクセスは、モスバーガーの店舗ではなく、モスカードの管理システムを運用する外部委託先で発生しました。

流出が確認されたのは113万3,070件のカード情報ですが、そのすべてが現在利用されているカードではありません。また、情報が流出したことと、チャージ済みの残高が実際に不正利用されたことも区別する必要があります。

情報流出は113万3070件｜実際に利用されているカードは約57万件

モスフードサービスの10月23日の発表によると、今回流出したモスカード情報は113万3,070件です。

モスカードの発行総数は約380万件で、そのうち約3割に相当する情報が今回の不正アクセスの対象となりました。

ただし、流出件数には、すでに利用者の手元に渡っているカードだけでなく、まだ流通していないカードも含まれています。

項目	公表内容
モスカードの発行総数	約380万件
情報流出件数	113万3,070件
流通済みカード	約57万件
未流通カード	約56万件
流出した情報	カード番号・PIN番号・残高情報
氏名・住所・電話番号	含まれない
クレジットカード情報	含まれない
不正利用への対策	対象カードのPIN番号を強制変更

この数字で注意したいのは、113万3,070件という流出件数が、そのまま113万3,070人の利用者を意味するわけではないことです。

約56万件は未流通のカードであり、複数のカードを所有している利用者がいる可能性もあります。そのため、実際に何人が影響を受けたのかは、今回の発表だけでは確定できません。

一方、約57万件は流通済みのカードです。現在モスカードを使っている人にとっては、自分のカードが対象になっているのか、チャージ済みの残高は安全なのかが重要になります。

10月26日時点で確認できた公式発表には、カード番号を入力するだけで今回の流出対象かどうかを判定できる専用ページは案内されていません。個別の確認が必要な場合は、公式の専用窓口へ問い合わせることになります。

モスカードのPIN番号は強制変更済み｜自分で変更する必要はあるのか？

今回、流出した情報の中で特に注意したいのが、モスカードのPIN番号です。

モスカードには16桁のカード番号と6桁のPIN番号があり、Web上での残高照会やカード登録などに使用されます。プラスチックカードでは、通常、カード裏面のスクラッチ部分からPIN番号を確認できる仕組みです。

しかし、今回の不正アクセスでは、カード番号とPIN番号の両方が外部へ流出しました。第三者による不正利用を防ぐため、モスフードサービスは対象となるPIN番号を強制的に変更しています。

つまり、利用者が変更操作を行う前に、会社側で対象カードのPIN番号を変更したということです。

そのため、カード裏面に記載されている以前のPIN番号を入力しても、Web上の残高照会や新規登録などができなくなる場合があります。

ただし、10月23日の公式発表では、対象となる利用者全員が自分で新しいPIN番号を設定し直すよう求められているわけではありません。

また、新しいPIN番号を利用者がどのように確認できるのかについても、すべてのカードに共通する具体的な方法は案内されていません。

これまで使っていたPIN番号で操作できなくなった場合は、非公式のサイトやアプリで確認しようとせず、モスカードお問い合わせ専用窓口に相談してください。

チャージ済みの残高は消えるのか？不正利用の被害状況

モスカードは、あらかじめ入金した金額を使って商品を購入できるプリペイドカードです。そのため、カード番号やPIN番号が流出したと聞くと、チャージしていた残高が第三者に使われてしまうのではないかと心配になる人もいるでしょう。

今回の流出対象には残高情報も含まれていますが、残高情報が外部に漏れたことと、チャージ済みのお金が実際に引き出されたことは同じではありません。

モスフードサービスは10月23日の発表で、今回の事案に起因する利用者被害の問い合わせは届いていないと説明しています。

また、モスカードの管理システムを提供するバリューデザインの親会社、ペイクラウドホールディングスも、不正利用のおそれがあった発行済みIDについて対処済みであり、同日時点で不正利用による実被害はないと発表しました。

ただし、これらは発表時点で確認されていた状況です。今後も被害が発生しないことを保証するものではありません。

利用者は、身に覚えのない支払いやチャージ済み残高の引き去りがないか、利用履歴を確認するよう求められています。

もし不審な利用が見つかった場合は、利用日時や金額などを確認し、専用窓口へ相談してください。

なお、今回の情報流出に伴って、対象カードの残高が一律に失効するという発表は確認されていません。一方、不正利用が確認された場合の個別の補償条件についても、10月26日時点では具体的な案内が出ていません。

通常のモスカード利用約款では残高の払い戻しに制限がありますが、今回の不正アクセスによる被害について、補償されないと断定することもできません。被害が疑われる場合は、個別に対応を確認する必要があります。

モスカードは店頭・ネット注文で今までどおり使えるのか？

モスフードサービスは、今回のPIN番号変更後も、店頭・ネット注文・「お席で注文」でのモスカード利用については問題ないと案内しています。

つまり、PIN番号が変更されたからといって、対象となったモスカードがすべて利用できなくなったわけではありません。

一方、次の3つの操作については、正常に利用できない場合があると説明されています。

Web上でのモスカード残高照会
モスバーガー公式アプリへのモスカード新規登録
ネット注文でのモスカードによるゲスト購入

これらの操作にはカード番号やPIN番号を使用する場合があるため、以前のPIN番号が使えなくなったことで手続きを進められない可能性があります。

ここで注意したいのは、ネット注文そのものが停止したわけではないという点です。

公式案内では、ネット注文での利用は可能とされています。ただし、会員登録せずにモスカードで決済するゲスト購入では、一部のカードで正常に手続きできない場合があります。

また、すでに公式アプリに登録しているカードについて、全利用者が再登録を求められるという発表もありません。

利用できない機能がある場合は、何度もPIN番号を入力し直すのではなく、専用窓口へ問い合わせてください。

Webチャージも一時停止｜10月22日のPHP脆弱性対応との違い

今回の情報流出とは別に、モスバーガーは2026年10月22日、モスカードのWebチャージを一時停止すると発表しています。

これは、10月21日に公表されたプログラミング言語「PHP」の脆弱性に対応するため、緊急メンテナンスを実施したことによるものです。

10月22日の案内では、次の機能が一時停止の対象として挙げられています。

モスカードのWebチャージ
公式アプリ内のdアカウントコネクト連携（dポイントアプリを起動する機能）

そのため、モスカードで商品を購入することと、モスカードへ新たにWebチャージすることは分けて考える必要があります。

10月23日の情報流出に関する発表では、店頭やネット注文でのモスカード利用は可能と説明されていますが、10月22日には別途Webチャージの一時停止が案内されています。

10月26日時点で確認できた公式情報では、このWebチャージの再開を明確に知らせる新たな発表は確認できていません。利用を検討している人は、モスバーガー公式の一時停止案内と最新のお知らせを確認してください。

なお、通常のモスカードでは、店舗のレジで現金を使ってチャージする方法も用意されています。今回のWebチャージ停止案内では、店頭での現金チャージは停止対象として挙げられていません。店舗でのチャージについて不明な点があれば、利用前に店舗または公式窓口で確認するとよいでしょう。

また、現時点で公式に確認できるのは、PHPの脆弱性対策に伴う一時停止と、バリューデザインへの不正アクセスによる情報流出が、それぞれ発表されているということです。

今回の情報流出が10月21日に公表されたPHPの脆弱性を直接の原因として発生したという説明は確認されていません。同じ時期のセキュリティ関連の発表ですが、原因を混同しないよう注意が必要です。

残高照会ができない場合はどうすればいいのか？

PIN番号の強制変更によってWeb上の残高照会ができなくなった場合でも、それだけでチャージ済みの残高がなくなったと判断する必要はありません。

通常、モスカードの残高や利用履歴は、公式サイトのモスカード管理ページや公式アプリなどで確認できます。

また、モスバーガーの公式FAQでは、カードを使って支払いをした際のレシートや、店頭レジでも残高を確認できると案内されています。

今回の情報流出を受けて確認する場合は、次の方法が考えられます。

これまで利用していた公式サイトや公式アプリで、残高・利用履歴を確認できるか試す
Web上で確認できない場合は、手元にある利用レシートや、店舗レジでの残高照会を利用する
身に覚えのない支払い・残高の減少などがないか確認する
残高照会ができない状態が続く場合や、不審な利用がある場合は専用窓口へ問い合わせる

ただし、レシートに表示された残高は、そのレシートが発行された時点の情報です。最新の残高を確認したい場合は、店頭レジや公式の問い合わせ窓口での確認が適しています。

また、不正利用の有無を調べるには、単に残高を見るだけでなく、利用履歴との照合も重要です。通常のモスカード管理サービスでは、一定期間内の利用履歴を確認できます。

もし不明な引き去りが見つかった場合は、日時や金額などを整理して問い合わせてください。

参考：モスバーガー公式｜モスカードの購入・ご利用について

モスWEB会員のパスワードやクレジットカード情報も漏れたのか？

今回の不正アクセスで流出が確認された情報は、モスカード番号、PIN番号、残高情報の3種類です。

モスフードサービスは、流出した情報に氏名、住所、電話番号、クレジットカード情報などの個人情報は含まれていないと説明しています。

また、モスWEB会員のログインパスワードについても、今回の流出対象としては公表されていません。

したがって、今回の発表だけを根拠に、モスWEB会員のパスワードやクレジットカード番号まで流出したと考えるのは正確ではありません。

モスフードサービスからは、今回の情報流出を理由として、利用者全員にモスWEB会員のパスワード変更やクレジットカードの再発行を求める案内も確認されていません。

ただし、PIN番号はカード利用に関わる重要な情報です。氏名や住所が含まれていないからといって、今回の情報流出に問題がないという意味ではありません。

また、別のサービスでも同じパスワードを使っている場合や、不審なメールのリンク先に認証情報を入力してしまった場合は、今回の発表とは別に適切な安全確認が必要になります。

不正アクセスを受けたのは委託先のバリューデザイン

今回の情報流出は、モスバーガーの店舗で発生したものではありません。

モスカードのサーバー運用・保守を委託している株式会社バリューデザインのシステムが、第三者から不正アクセスを受けたことによって発生しました。

モスフードサービスによると、委託先では2026年10月14日から18日にかけて、モスカードの管理システムに対する不審なアクセスや不正ログインの試行を検知しました。

その後、アクセス遮断などの緊急措置を実施し、調査を進めた結果、外部プログラムを利用した不正アクセスによってカード情報が流出していたことが確認されました。

バリューデザインの親会社であるペイクラウドホールディングスは、10月19日に電子マネー発行サービス「Value Card」で情報流出を確認したと説明しています。

原因については、同社のシステムの一部環境に存在するWebサーバーの脆弱性を第三者に悪用されたと公表しています。

ただし、具体的な脆弱性の名称や攻撃に使用されたプログラム、侵入経路の詳細までは明らかになっていません。

今回の不正アクセスについては、モスカード以外の電子マネー発行システムへの影響も公表されています。ペイクラウドホールディングスが発表した「Value Card」全体の流出件数は142万4,748件ですが、モスカードの113万3,070件とは公表主体や集計範囲が異なるため、単純に足し合わせることはできません。

詳しい原因や、Value Card全体の流出件数との違いについては、関連記事「Value Cardで約142万件の情報流出｜モスカード113万件も対象？PIN変更・残高への影響」でも整理しています。

モスバーガーを装った不審メールにも注意

モスバーガーは今回の情報流出が公表される前の2026年10月19日にも、モスWEB会員の登録メールアドレス宛てに不審なメールが届いているとして、注意を呼びかけていました。

その案内では、モスバーガー側から利用者に対して、パスワードやワンタイムパスワード、クレジットカード情報の入力、金銭の振り込みなどを求めることはないと説明しています。

ただし、10月19日の不審メールに関する案内と、10月23日に公表されたモスカードの情報流出について、直接的な関連があると確認されたわけではありません。

今回のような情報流出のニュースが出た際には、利用者の不安につけ込んだ偽の手続き案内にも注意が必要です。

例えば、モスカードのPIN番号変更や残高の保護を装い、メールやSMSから偽サイトへ誘導する手口が考えられます。ただし、今回の情報流出を利用したそのような偽メールが実際に確認されたという意味ではありません。

不審な案内を受け取った場合は、メール内のリンクから手続きを進めず、モスバーガー公式サイトを自分で開いて案内を確認してください。

カード番号やPIN番号、モスWEB会員のパスワードなどを、不審なメールのリンク先やSNSのメッセージで入力しないことも重要です。

参考：モスバーガー公式｜モスWEB会員にご登録のメールアドレス宛の不審メールについて

モスカードの専用問い合わせ先｜10月27日から電話番号が変更

今回の情報流出について、モスフードサービスは利用者向けに「モスカードお問い合わせ専用窓口」を設置しています。

注意したいのは、2026年10月26日までと、翌27日以降で電話番号が異なることです。

窓口名：モスカードお問い合わせ専用窓口
2026年10月26日（月）まで：03-3496-8322
2026年10月27日（火）以降：0120-395-126（フリーダイヤル）
受付時間：9時〜22時

公式案内によると、問い合わせの際には利用店舗や残高などを確認し、簡単な本人確認を行う場合があります。

PIN番号変更後の残高照会、アプリ登録、ネット注文でのゲスト購入などに問題がある場合や、身に覚えのない利用が見つかった場合は、この窓口へ相談してください。

なお、電話番号や受付時間が今後変更される可能性もあるため、問い合わせ前にはモスバーガー公式の情報流出に関するお知らせも確認することをおすすめします。

利用者が確認しておきたいこと

今回の情報流出を受けて、モスカードを持っている人が確認しておきたいのは、カードの利用状況と不審な操作の有無です。

モスフードサービスは対象カードのPIN番号を強制的に変更していますが、利用者自身にも、身に覚えのない利用履歴がないか確認するよう求めています。

現時点では、次のような対応をしておくとよいでしょう。

自分が保有しているモスカードの残高と利用履歴を確認する
覚えのない支払いやチャージ額の引き去りがないか調べる
Web残高照会やアプリ登録ができない場合は、公式の専用窓口に相談する
モスカードのPIN番号や会員パスワードを、不審なメールやサイトに入力しない
Webチャージなどの一時停止中の機能については、再開に関する公式発表を確認する

なお、今回の情報流出に伴って、すべてのモスカードをただちに破棄したり、利用者全員が新しいカードを購入し直したりするよう求める案内は確認されていません。

カードを保有していることだけを理由に、残高が失われたと判断する必要もありません。

ただし、情報流出そのものは確認されているため、何も問題がないと決めつけず、利用履歴や公式案内を確認しておくことが大切です。

まとめ｜PIN番号は変更済み、残高と利用履歴の確認が重要

モスフードサービスは2026年10月23日、プリペイドカード「モスカード」の情報113万3,070件が外部へ流出したと発表しました。

流出したのはカード番号、PIN番号、残高情報で、氏名や住所、クレジットカード情報は含まれていないと説明されています。対象件数には未流通のカードも含まれるため、113万人が被害を受けたという意味ではありません。

流出したカードのPIN番号は不正利用防止のため強制的に変更されていますが、店頭やネット注文、「お席で注文」での支払いは引き続き利用可能と案内されています。

一方、Web上での残高照会や公式アプリへの新規登録など、一部の操作ができない場合は専用窓口への相談が必要です。また、モスカードのWebチャージについては、10月22日に別途一時停止が案内されています。

10月23日の発表時点では、今回の不正アクセスに起因する利用者被害の問い合わせは届いていません。ただし、利用者も残高や利用履歴を確認し、不審な利用がないか注意することが求められています。

今後は、Webチャージの再開状況、不正利用に関する新たな報告、PIN番号変更後の機能への対応、原因調査や再発防止策の進展などが主な確認ポイントとなります。新たな公式発表があった場合は、本記事でも情報を更新していきます。

主な参考資料と確認日

情報確認日：2026年10月26日。モスフードサービスの10月23日の公式発表、ペイクラウドホールディングスとバリューデザインの発表、10月22日のWebチャージ一時停止案内、公式FAQなどを確認しています。流出件数とPIN番号変更は確認済みの事実ですが、個別カードの対象判定方法、不正利用時の具体的な補償条件、Webチャージの再開日などは現時点で確認できていません。今後の追加発表によって変更される場合があります。