プリペイドカードアプリ「ultra pay カード」の利用者情報が漏えいしました。運営する株式会社Yenyは2026年11月12日、同サービスなど4サービスで、退会者を含む133万2,505件の電話番号・会員IDが漏えいしたと公表しました。原因は外部サービスと連携するAPIの設定不備です。
利用者が最初にすべきことは、アプリ内のお知らせ欄を確認し、Yenyやultra payを装うSMS・電話でカード情報やパスワードを入力しないことです。Yenyによると、クレジットカード番号などの決済情報の漏えいは現時点で確認されておらず、漏えいした情報だけでは同社アプリへの不正ログインや決済はできないとしています。この記事は11月13日確認、11月12日15時時点の公式発表に基づきます。
ultra payの情報漏えいは自分も対象？4つのサービスと確認方法
対象はultra pay カードだけではありません。Yenyが発表した対象サービスは次の4つです。
| 対象サービス | 確認先 |
|---|---|
| ultra pay カード | ultra payアプリ内のお知らせ欄 |
| アスルクラロ沼津Pay – by PayBlend | 該当アプリ内のお知らせ欄 |
| 巫神こんPay – by PayBlend | 該当アプリ内のお知らせ欄 |
| 東芝ブレイブルーパス東京Pay – by PayBlend | 該当アプリ内のお知らせ欄 |
133万2,505件は上記4サービス全体の件数です。各サービスで133万件ずつという意味ではなく、重複を除いた実人数も公表されていません。退会済みの利用者も対象に含まれます。
対象かどうかを確認する手順
- 利用中の対象アプリを自分で起動し、「お知らせ」を確認する。SMSのリンクからアプリやログイン画面を開かない。
- 該当アプリを使っていたことがある場合は、退会したアカウントも対象件数に含まれる点に注意する。
- 退会済みでアプリを利用できない、あるいは自分が対象か判断できない場合は、Yenyの公式お問い合わせフォームから確認する。
公式発表には、退会者への個別の通知方法や、電話番号を入力して漏えいの有無を照会する専用ページの案内は記載されていません。「漏えい対象か確認する」とうたうSMSのURLに電話番号や認証コードを入力しないでください。
何が漏れた？カード番号・残高は安全なのか
| 項目 | 2026年11月12日時点の発表 |
|---|---|
| 電話番号 | 漏えいを確認 |
| Yeny固有の会員ID | 漏えいを確認 |
| クレジットカード番号などの決済情報 | 漏えいは確認されていない |
| 漏えい情報だけによる同社アプリの不正ログイン・決済 | 利用できないとYenyが説明 |
| サービス別の対象件数・具体的な不正取得方法 | 公表資料では確認できない |
「決済情報の漏えいが確認されていない」は、調査時点での説明です。今後も絶対に被害がないという意味ではありません。一方、今回の発表だけを根拠に、カード番号やパスワードも漏えいしたと受け取る必要はありません。
また、今回漏れた電話番号を持つ第三者が、Yenyになりすまして連絡する可能性はあります。危険の中心は、電話番号そのものによる決済ではなく、偽の案内から別の認証情報やカード情報をだまし取られる二次被害です。
今すぐできる対策｜偽SMS・電話にどう対応する？
1．SMSのリンクからカード情報やパスワードを入力しない
Yenyは、SMSや電話でパスワードやカード情報の入力を求めないと明示しています。「情報漏えいの補償」「本人確認」「カード利用停止」「再認証」などを口実に連絡が来ても、そのメッセージ内のURLは開かず、公式アプリやブックマークした公式サイトを自分で開いて確認してください。
2．アプリのお知らせと利用履歴を確認する
公式のお知らせを確認し、身に覚えのない利用や残高の変化がないかを見ます。異常を見つけた場合は、SMSに記載された窓口ではなく、公式アプリ・公式サイトのサポートへ連絡してください。
3．SMSの認証コードを第三者に伝えない
仮に電話番号が知られていても、それだけで本人認証を突破できるとは限りません。ただし、別のサービスへのログイン試行に伴う認証コードが届くことは考えられます。頼んでいない認証コードは誰にも教えないことが重要です。身に覚えのない認証通知が続く場合は、通知を送ったサービスの公式画面からアカウント状況を確認しましょう。
なお、今回のYenyの発表ではパスワード流出は公表されておらず、すべての利用者に一律でパスワード変更を求める案内も確認できません。変更が必要かどうかは、公式発表や実際の不正利用状況を確認して判断してください。偽SMSの具体例と対処は、関連記事「警察庁を装うSMSから偽アプリへ誘導する手口」も参考になります。
原因の「API接続設定不備」とは？漏えいの仕組みを解説
APIは、スマホアプリや提携先のシステムがサーバーと情報をやり取りするための窓口です。通常は、通信する相手が正当か、どの会員情報まで取得してよいかを認証・認可の設定で制限します。
| 情報の流れ（一般的な説明） | 正常な設計で必要な制御 |
|---|---|
| 利用者アプリ・提携先 → API → 会員情報データベース | 接続元・認証資格情報を検証する |
| APIが会員情報を返す | 接続先ごとに閲覧可能なデータ範囲を制限する |
| 複数のAPI呼び出しが続く | 不自然な取得頻度・件数を監視する |
今回、Yenyが確認したのは「API接続における設定不備」です。外部の接続先事業者から「不審なAPIコール」の連絡を受けて調査を始めたと説明しています。ただし、設定のどの項目に問題があったのか、認証・認可のどの段階を突破されたのか、使用された具体的なリクエストなどは公表されていません。上表は一般的なAPI防御の概念であり、本件の攻撃経路を再現したものではありません。
システム管理者にとっては、外部連携用APIのアクセス権限（接続先ごとのスコープ）、必要最小限の返却項目、ログでの大量取得検知、異常時の接続停止手順を確認する契機になります。類似の論点は「CROSS POINTで正規APIキーが悪用された事例」でも整理しています。ただし両事故の侵入手法が同じと確認されたわけではありません。
いつ発生し、いつ判明した？公表までの時系列
| 日付 | Yenyが公表した対応 |
|---|---|
| 2026年10月31日 | 接続先の特定事業者から不審なAPIコールの連絡を受け、調査を開始 |
| 11月2日 | 電話番号漏えいの可能性について連絡を受ける。API接続設定の不備を確認し、緊急メンテナンスでシステム対応 |
| 11月3～4日 | 原因と影響の詳細調査 |
| 11月5日 | 電話番号・Yeny固有の会員IDの漏えいを確認 |
| 11月6日 | 関東財務局と個人情報保護委員会に報告 |
| 11月12日 | 133万2,505件の漏えいについて公表 |
10月31日は不審なAPIコールの連絡を受けた日であり、不正アクセスが最初に始まった日と確定したわけではありません。被害が発生した期間の詳細や接続先事業者名についても、今回の公式資料では確認できません。
よくある質問
Q．もう退会していても関係ありますか？
はい。Yenyの公表した133万2,505件には退会者が含まれます。ただし、個々の退会者が実際に対象かどうかは、公表件数だけでは判断できません。アプリで確認できない場合は公式サポートへ問い合わせてください。
Q．カードを停止・再発行した方がよいですか？
Yenyはクレジットカード番号等の決済情報の漏えいを確認しておらず、今回漏れた情報だけでは同社アプリへの不正ログインや決済はできないと説明しています。11月12日の公式発表に、利用者全員へ一律のカード停止・再発行を求める案内はありません。不審な利用がある場合はサポートに相談してください。
Q．漏えいした電話番号を確認するWebサイトはありますか？
11月12日の公式発表には、電話番号を入力して個別照会するサイトの案内は見当たりません。対象者にはアプリのお知らせ欄で案内するとしています。SMSで届く「確認サイト」のURLには安易にアクセスしないでください。
Q．何人分の情報が漏れたのですか？
発表された数字は133万2,505「件」です。実人数や4サービスごとの件数は公表されていないため、133万2,505人と断定できません。
まとめ｜アプリ内のお知らせと不審な連絡を確認
ultra pay カードなど4サービスの電話番号・会員ID計133万2,505件が漏えいしたことは確認済みです。一方、決済情報の漏えいや、漏えい情報だけを使った不正ログイン・決済はYenyの説明では確認・実行できないとされています。利用者は公式アプリ内のお知らせを確認し、偽SMS・電話でパスワードやカード情報を渡さないことを優先してください。
出典・更新履歴
- 株式会社Yeny「不正アクセスによる会員情報の漏えいに関するお詫びとお知らせ」（2026年11月12日公表・最終更新、11月13日確認）
- 株式会社Yeny公式お問い合わせフォーム（11月13日確認）
記事公開：2026年11月13日。確認した一次情報は11月12日15:00時点の調査結果です。被害の詳細、対象者の個別確認方法などについて追加発表があれば、本記事も確認・更新します。
コメント