日本脆弱性総合ポータル

日本ピザハット：国内向け注文サービスの決済APIへの不正アクセスで顧客情報が漏えい

重要度
被害を確認
公表日
2026.10.23
原因の分類
侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. ピザハットの注文に関わるシステムに第三者が不正にアクセスした。
  2. メールアドレスや電話番号などの顧客情報の一部が外部に漏れた。
  3. 心当たりのない連絡のリンクや添付ファイルは開かないよう呼びかけられている。

2026年10月19日、第三者がピザハットの国内向けオンライン注文サービスに関連する決済APIに不正アクセスし、顧客情報を含むデータベースから一部の情報が取得された。漏えいが確認された情報は、お客様ID、メールアドレス、電話番号、取引記録などで、クレジットカード情報は含まれない。侵入口と影響範囲は調査中である。

確認された経路・公表元の推定

  1. 2026年10月19日、第三者がピザハットの国内向けオンライン注文サービスに関連する決済APIに不正アクセスした。
  2. 決済APIを通じて、顧客情報を含むデータベースから一部の情報を取得した。

根拠の要点

公表元は、決済APIへの不正アクセスとデータベースからの情報取得を確認したと説明している。一方、原因は調査中とし、侵入口は資料で特定されていない。

資料の基準時点：2026年10月23日公表時点の判明内容

当時、対策できたのか

判定保留

原因と影響範囲は調査中とされ、侵入口、既知脆弱性の有無、攻撃時点の防御条件が資料に記載されていないため、判定を保留とした。

公表された対策

  • 攻撃元IPアドレスをブロックした。
  • 脆弱性への対応を実施した。
  • 個人情報保護委員会へ速報した。
  • システム管理体制の見直しと是正措置に取り組む。
  • 心当たりのない連絡のリンクをクリックせず、添付ファイルを開かず、パスワードやクレジットカード情報を入力・提供しないよう求めている。

この事例を理解するための動画

まだ分からないこと

  • 侵入口（最初にアクセスされた経路）と原因の詳細
  • 影響範囲の全容と、漏えいした件数
  • 脆弱性の有無、修正の時期、攻撃時点の防御条件
  • 攻撃者の身元と目的

関連する事例

同じ原因分類の事例

事例の一覧に戻る