概要

日本ピザハット株式会社は2026年10月23日に発表した。10月19日、第三者が国内向けオンライン注文サービスの決済APIに不正アクセスし、顧客情報などを含むデータベースから一部の情報を取得したことが確認された。漏えいが確認されたのは、顧客ID、メールアドレス、電話番号、削除済みの顧客情報に関する記録、セッションログイントークン、取引記録。クレジットカード情報は含まれておらず、漏えい件数は公表時点で明らかにしていない。同社は攻撃元IPアドレスの遮断と脆弱性への対応を行い、個人情報保護委員会へ速報した。公表時点で二次被害は確認されていない。

経緯

経緯情報は未登録です。

原因

第三者が決済APIに不正アクセスし、データベースから情報を取得した。脆弱性に対応したとしているが、原因の詳細は調査中。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

影響を受けたユーザー数

不明

サービス停止

不明

金銭的被害

不明

対象システム

オンライン注文サービスの決済API、顧客情報データベース

漏洩した情報

• 確認済み顧客ID
• 確認済みメールアドレス
• 確認済み電話番号
• 確認済み削除済みの顧客情報に関する記録
• 確認済みセッションログイントークン
• 確認済み取引記録

顧客情報の一部が漏えいした。件数は公表されていない。クレジットカード情報は含まれておらず、公表時点で二次被害は確認されていない。

対応

攻撃元IPアドレスを遮断し、脆弱性に対応した。個人情報保護委員会へ速報し、同社を装ったメール・SMS・電話への注意を呼び掛けている。今後はシステム管理体制の見直しと是正措置に取り組む。

• 攻撃元IPアドレスの遮断
• 脆弱性への対応
• 個人情報保護委員会への速報
• なりすましメール・SMS・電話への注意喚起
• システム管理体制の見直しと是正措置

教訓・対策

• 決済APIなど、システム間の連携APIに対するアクセス制御と脆弱性管理を徹底する必要がある
• 削除済みの顧客情報の記録など、不要なデータの保持を最小化することが重要

参考資料

1. オンライン注文サービスの決済APIに不正アクセス、顧客情報漏えい│日本ピザハット株式会社
   サイバーセキュリティ.com公開日: 不明報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

日本ピザハット株式会社

関連するインシデント

関連付けられたインシデントはありません。