日本のピザハット、オンライン注文の決済APIへ不正アクセス　顧客情報の一部が漏えい

ピザハットの日本事業を運営する会社は、2026年10月23日の午後に「個人データ漏えいにつながる不正アクセスに関するお詫びとお知らせ」を自社サイトで公表した。それによると、10月19日に第三者が、国内のオンライン注文サービスに関わる決済APIへ不正にアクセスし、顧客データベースの一部を取得したという。^[1]

APIは、ウェブサイトやアプリが決済などの機能を呼び出すための窓口にあたる。そこが狙われたため、注文時に登録された情報の一部が対象になった。公表は不正アクセスから4日後で、その後、海外のセキュリティ報道でも取り上げられている。

同社が漏えいを確認した項目は、顧客ID、メールアドレス、電話番号、削除済みの顧客情報の記録、ログイン状態を保つためのセッショントークン、取引の記録である。クレジットカード情報は漏えいした情報に含まれないと説明している。

現時点で、漏えいした情報を悪用した二次被害は確認されていない。一方、原因の特定と被害範囲の確認は続いており、影響を受けた顧客の人数や、対象となる期間は発表されていない。^[2]

メールアドレスと電話番号が含まれるため、同社は、ピザハットを名乗るメールやSMS、電話に注意するよう呼びかけている。

同社は、攻撃元のIPアドレスを遮断し、脆弱性を修正したと説明している。個人情報保護委員会へは速報を提出済みで、今後はシステムの管理体制を見直す方針を示した。

問い合わせは、日本ピザハットのフリーダイヤル0120-679-023（受付10:00～19:00）で受け付けている。

メールやSMSの本文にあるリンクを開く前に送信元を確かめる、ピザハットを名乗る電話で暗証番号やパスワードを教えない、といった一般的な対策は有効だ。公式アプリやサイトへは、ブックマークや検索から入り直して確認するとよい。

ピザの宅配では、電話ではなくアプリやウェブでの注文が主流になり、メールアドレスや電話番号、決済に関わる記録が事業者のシステムに集まる。決済APIのように外部から呼び出される部分は、設計や設定の不備が見つかると狙われやすい。

ピザ業界では、ロシアのDodo Pizzaがサイバー攻撃を受けて注文データが流出した例もある。ピザハットの今回の件は、宅配チェーンのデジタル注文基盤が個人情報の保管庫でもあることを改めて示した。^[3]

同社は、原因と影響範囲の調査結果を、確認でき次第お知らせするとしている。続報が出た場合は、公式サイトの案内が最も確実な情報源になる。