ピザハットは10月23日、国内のオンライン注文サービスに関係するシステムへの不正アクセスで、顧客情報の一部が漏えいしたと発表しました。メールアドレスや電話番号のほか、セッションログイントークンも含まれています。
クレジットカード情報は含まれていないと公表されています。一方、ログイン用のトークンがその後も使える状態だったか、いつ無効化されたかは、確認した発表では分かりません。分かっている範囲と、利用者ができる確認を整理します。
何が流出した？カード情報との違い
| 項目 | 公式発表の内容 |
|---|---|
| 不正アクセス確認 | 2026年10月19日 |
| 侵入された箇所 | 国内オンライン注文サービスに関連する決済API |
| 流出した情報 | 顧客ID、メールアドレス、電話番号、削除済み顧客情報に関する記録、セッションログイントークン、取引記録 |
| クレジットカード情報 | 含まれていない |
| 件数・詳細な影響範囲 | 今回確認した発表では未公表 |
APIは、システム同士が情報をやり取りするための窓口です。決済APIへの不正アクセスだからといって、カード番号まで流出したと読み替えることはできません。また、削除済み顧客の記録も含まれるため、現在の会員だけが対象とも断定できません。
ログイントークンは「ログイン済みの証明」
一般にセッションのトークンは、ログインした後の利用者をサービスが見分けるための情報です。店の入場券のように、提示するとログイン済みとして扱われる仕組みがあります。
有効なトークンを第三者が悪用できる条件がそろうと、パスワードを知らなくても操作されるおそれがあります。ただし、使える期間や端末の制限、サーバー側の無効化などで危険性は変わります。今回、実際にアカウントが乗っ取られたと確認された、という意味ではありません。
日本ピザハットは、発表時点で本件に起因する二次被害を確認していないとしています。トークンの有効期限や失効の実施状況は公表されておらず、外部からは安全性を判断できません。
利用者が確認したい3つのこと
まず、いつもの公式アプリやブックマークから注文履歴を開き、覚えのない注文がないか確認してください。不明な取引があれば、日時や内容を控えて公式窓口へ相談します。
次に、届いたメール・SMS・電話で重要な情報を渡さないことです。「注文の取消」「返金」「本人確認」と言われても、連絡に含まれるリンクからパスワードやカード情報を入力しないでください。
最後に、公式の続報を確認してください。問い合わせる場合は、自分が対象かに加え、流出トークンは無効化済みか、利用者によるログアウトなどの操作が必要かを尋ねると、対応を判断しやすくなります。
パスワード変更だけで解決する？
今回の発表で、流出項目にパスワードは挙げられていません。また、一般にパスワード変更で既存のトークンまで無効になるかは、サービスの設計によって異なります。変更だけで今回の懸念が解消すると断定することはできません。
もし偽のサイトへパスワードを入力してしまった場合は、公式サービスから変更し、同じものを使っている別サービスも見直してください。これは今回の漏えい対象とは別に、入力した情報が悪用されるのを防ぐための対応です。
公式の対応と問い合わせ先
日本ピザハットは、攻撃元IPアドレスの遮断、脆弱性への対応、個人情報保護委員会への速報を実施したとしています。問い合わせ先は0120-679-023、受付時間は10:00〜19:00。最新の案内やフォームは公式発表から確認できます。
出典：日本ピザハット「個人データ漏えいにつながる不正アクセスに関するお詫びとお知らせ」（10月23日）。2026年10月26日確認。トークンの説明と確認手順は一般的な解説であり、同社が公表した必須操作ではありません。
一般的な仕組みの参考：OWASP「Session Management Cheat Sheet」。
