出光の「idemitsu カーメンテ予約」で予約しようとしても開けない、予約の変更や取消ができない――。出光興産は2026年11月10日、同サービス（旧「PIT in plus」）への第三者による不正アクセスを確認し、サービスを一時停止したと発表しました。11月7日に異常アクセスを検知し、11月9日の調査で顧客情報が外部から取得できる状態だったことを確認しています。
急いでいる方へ：予約の変更・取消は、予約した店舗に直接連絡してください。個人情報の「漏えい確定」ではなく、漏えいした可能性があるため調査中という段階です。復旧日は公表されていません。この記事は2026年11月11日に出光興産の11月10日付第一報を確認してまとめています。
出光カーメンテ予約はいつまで使えない？ 11月10日から停止中
| 確認したいこと | 2026年11月11日時点の情報 |
|---|---|
| 使えないサービス | idemitsu カーメンテ予約（旧PIT in plus） |
| 停止開始 | 2026年11月10日（火） |
| 利用できない操作 | Web上の新規予約、予約変更、予約取消 |
| 原因 | 第三者による不正アクセス。侵入手法・脆弱性の詳細は未公表 |
| 情報漏えい | 可能性あり。実際の漏えいの有無・対象者・範囲は調査中 |
| 再開予定 | 安全性を確認でき次第、出光興産が案内。具体的な日付は未発表 |
停止は、カーメンテナンスのWeb予約サービスに関する発表です。apollostationの給油所全体が停止したという発表ではありません。予約済みの車検・点検などが実施できるかどうかは、このお知らせだけでは判断できないため、利用予定の店舗で確認しましょう。
以下は、2026年11月11日22時03分ごろに確認した実際の表示画面です（読者提供）。アプリ上は「緊急メンテナンス」と案内されていますが、出光興産の公式発表では、不正アクセスへの対応としてサービスを一時停止したとしています。画像は撮影時点の表示であり、その後の復旧状況を示すものではありません。
予約の変更・取消はどうする？ 今日できる対処方法
出光興産が正式に案内しているのは、予約した店舗へ直接問い合わせる方法です。特に予約日が近い場合は、次の手順で確認すると混乱を避けられます。
- 予約確認メールや手元の控えなどから、予約店舗名・予約日時・サービス内容を確認する。
- 予約した店舗へ電話し、「idemitsu カーメンテ予約の停止でWebから変更（または取消）ができない」と伝える。
- 店舗に変更・取消の希望内容と、予約が店舗側で確認できるかを聞く。
- 電話で確認した日時や担当者名、変更後の予約内容を控えておく。
予約確認メールが見つからず店舗も分からない場合や、今回の不正アクセスについて確認したい場合は、公式の特別窓口へ相談できます。
| お問い合わせ先 | 内容 |
|---|---|
| idemitsu カーメンテ予約 特別お問い合わせ窓口 | 0120-822-242 |
| 受付時間 | 9:00～20:00（土日祝日も受付） |
窓口の電話番号・受付時間は出光興産の公式発表（PDF）で確認できます。予約を取り直す場合の代替受付や店舗ごとの対応については一律の案内が出ていないため、店舗へ確認してください。
自分の個人情報も漏れた？ 対象者の確認方法
今回、会社が確認したのは「不正アクセスがあり、お客さまの情報が外部から取得できる状態にあった」という事実です。一方、実際に誰のどの情報が取得されたのか、件数はいくつかは、第一報で明らかにされていません。
| 項目 | 分かっていること |
|---|---|
| 対象になりうる人 | 「idemitsu カーメンテ予約」を利用した人。正式な対象範囲は調査中 |
| 漏えいした情報の種類 | 未公表。氏名、電話番号、メールアドレス、パスワードなどのどれが含まれるかは確定できない |
| 漏えい人数・件数 | 未公表 |
| 実際の外部持ち出し | 確認結果は未公表。取得可能な状態と持ち出し確認は別 |
| 対象者への連絡 | 対象の確認が取れ次第、出光興産から個別連絡する方針 |
現時点で対象者を自分で照会できる専用ページは、11月10日付の発表に案内されていません。案内メールがまだ届いていないことを理由に対象外とは判断できません。公式のお知らせを確認し、心配な場合は上記の特別窓口に問い合わせてください。
クレジットカード情報やパスワードは大丈夫？
11月の第一報には、漏えいの可能性がある具体的な情報項目の記載がありません。そのため「クレジットカード情報は漏れていない」「パスワードは安全」とも、逆に「漏えいした」とも断定できません。カードを停止すべき事案だと公表されているわけでもありませんが、不審な請求がないか通常どおり利用明細を確認してください。
11月7日から11月10日までに何が起きた？
| 日付 | 出光興産が説明した経緯 |
|---|---|
| 11月7日（土） | サービスで通常とは異なるアクセスを検知し、調査を開始 |
| 11月9日（月） | 第三者の不正アクセスと、顧客情報が外部から取得できる状態だったことを確認 |
| 11月10日（火） | 被害拡大防止のため予約サービスを一時停止し、第一報を公表 |
| 11月11日（水） | 本記事の確認時点。具体的な再開日や漏えい人数は第一報に記載なし |
異常アクセスの検知日と、不正アクセスを確認した日は同じではありません。また、11月7日が攻撃開始日だと判明したわけではありません。攻撃開始時期、侵入経路、第三者が実際に取得した情報などは続報の確認が必要です。
10月の「別の人の予約情報が表示された」問題とは違う？
はい。出光興産は、2026年10月9日に公表した「お客さま情報の誤表示等について」と今回の11月の不正アクセスは異なる事象と明記しています。
10月の発表では、9月30日～10月1日と10月6日の一部時間帯に、他人の氏名やメールアドレス、予約情報が別利用者の画面に表示された可能性がありました。氏名・メールアドレスが誤表示された可能性のある会員IDは683件、詳細情報の誤表示の可能性は2件、予約が正しく反映されなかった可能性は928件と説明しています。原因はWebサイトの表示高速化システムの設定不備でした。
これらは10月の事案の数字です。11月の不正アクセスの漏えい件数として使うことはできません。10月の設定不備が今回の原因だという根拠もありません。詳細は10月9日付の公式発表（PDF）を参照してください。
技術解説：「外部から取得できる状態」と「漏えい確定」の違い
予約サービスでは、ログイン中の利用者や店舗担当者だけが、必要な予約データを参照できるようにする認証（誰かを確かめる仕組み）と認可（その情報を見てよいかの判断）が重要です。正常な設計では、予約照会画面だけでなく、その裏側のAPIや管理画面でも利用者ごとのアクセス制御を行います。
第三者が情報を取得可能な状態になっていたとしても、原因が認証の突破、APIの権限設定、管理用アカウントの侵害、あるいは別の仕組みのどれなのかは、今回の公式発表からは分かりません。特定の脆弱性が悪用されたとの記載もありません。
システム管理者の観点では、一般にアクセスログやAPIの応答記録を保全し、通常と異なる大量照会や権限外の参照の有無を確認することが重要です。加えて、予約システムを一時停止した場合でも店舗が変更・取消を受けられるよう、代替受付の手順を整備しておく必要があります。これは予約サービス全般に向けた対策であり、今回の侵入経路を推定したものではありません。
出光を名乗る不審なメールや電話に注意
出光興産は今回の発表で、同社やサービスの関係者を装う不審な連絡への注意を呼びかけています。本件を理由に、利用者へパスワードや口座情報などの重要情報を尋ねることはないと明記しています。
- 「予約を復旧するため再ログインが必要」「補償を受けるため口座登録が必要」といったメールやSMSが届いても、本文中のリンクをそのまま開かない。
- 登録情報や支払い情報の入力を求められた場合、いったん連絡を切り、公式発表にある窓口へ自分で連絡する。
- パスワードを入力してしまった場合は、正規サイトから再設定を検討し、同じパスワードを使用している他サービスも確認する。
上記は二次被害を防ぐための一般的な予防策です。今回、実際にフィッシング被害が発生したと確認されたわけではありません。
よくある質問
Q. 予約済みの車検や点検は自動的にキャンセルされますか？
A. 予約済みの作業が自動取消になるという記載は、11月10日付の公式発表にありません。予約内容が維持されているか、予定どおり利用できるかは、予約店舗に直接確認してください。
Q. いつ復旧しますか？
A. 具体的な再開日は発表されていません。出光興産は安全性を確認でき次第、改めて知らせるとしています。
Q. idemitsuアプリ全体や給油も使えませんか？
A. 今回の停止対象として公表されたのは「idemitsu カーメンテ予約」です。アプリの機能すべてや給油所全体の停止を知らせるものではありません。利用する機能が正常に動かない場合は、個別に公式案内を確認してください。
Q. 以前にPIT in plusを利用した人も対象ですか？
A. 現在のサービスの旧称が「PIT in plus」です。ただし、過去の利用者がどこまで対象になるかは未公表であり、旧名称で利用した人全員が漏えい対象と決まったわけではありません。
まとめ：予約変更は店舗へ、個人情報は続報を確認
今回の予約停止は、単なるメンテナンスではなく、出光興産が確認した第三者の不正アクセスへの対応です。予約の新規受付・変更・取消がWebからできないため、変更や取消は予約店舗に直接相談してください。個人情報の漏えいは「可能性がある」という段階で、対象者や件数の確定を待つ必要があります。出光を名乗る連絡にパスワードや口座情報を渡さないことも大切です。
同様に自動車関連サービスの予約・会員情報が影響を受けた別事案として、イエローハットの情報流出と対象確認も紹介しています。ただし、今回の出光の件とは別の事故です。
出典・更新履歴
- 出光興産「idemitsu カーメンテ予約」への不正アクセスによる個人情報漏洩の可能性およびサービス停止について（第一報）（2026年11月10日、公表）
- 出光興産「idemitsu カーメンテ予約」におけるお客さま情報の誤表示等について（2026年10月9日、公表）
確認日：2026年11月11日（日本時間）。11月10日付第一報の範囲でファクトチェック。新たな漏えい確定情報、対象者数、復旧日、侵入経路が公表された場合は内容を更新します。
