Signal
📡 Signal｜決済の Yeny、API の設定不備で電話番号 133 万件が流出
TIS インテックグループの決済会社 Yeny が、API の設定不備で会員の電話番号と会員 ID 133 万件余りが流出したと公表した。異常に最初に気づいたのは接続先の事業者だった。
TIS インテックグループの決済会社 Yeny は11月12日、会員の電話番号と会員 ID 計133万2,505件 (退会者を含む) が第三者の不正アクセスで流出したと公表した。原因は、外部の事業者とつなぐ API (システム同士がデータをやり取りする窓口) の設定の不備だった。
Yeny — 不正アクセスによる会員情報の漏えいに関するお詫びとお知らせ (2026年11月12日・対象 1,332,505 件と経緯を確認)株式会社Yeny
クレジットカード番号などの決済情報の流出は確認されていない。それでも、決済アプリの会員だと分かる電話番号の一覧は、カード会社や決済会社を名乗る偽の SMS にそのまま使える。被害が出るとすれば、流出した瞬間ではなく、これから届くメッセージを通じてだ。
気づいたのは接続先の事業者だった
Yeny の公表によると、経緯は次のとおりだ。
- 10月31日 — Yeny が接続している特定の事業者から、不審な API の呼び出しがあったと連絡を受け、調査を始めた
- 11月2日 — 同じ事業者から、電話番号が流出した可能性があると連絡を受けた。Yeny の調査で、API の接続設定の不備が原因と確認し、緊急メンテナンスでシステムを直した
- 11月3〜4日 — 原因と影響を詳しく調べた
- 11月5日 — 会員情報 (電話番号と会員 ID) の流出を事実として確認した
- 11月6日 — 関東財務局と個人情報保護委員会に報告した
- 11月12日 — 公表した
最初の異常を見つけたのは、API の向こう側にいる事業者だった。外部と API でつなぐ設計は、決済や会員サービスを速く広げる手段として当たり前になった。その分、自社の設定の誤りが外から見つかる、という経路も生まれる。
対象は 4 つのサービス
Yeny の発表が挙げる対象サービスは次の 4 つだ。
- ultra pay カード
- アスルクラロ沼津Pay - by PayBlend
- 巫神こんPay - by PayBlend
- 東芝ブレイブルーパス東京Pay - by PayBlend
後ろの 3 つは、Yeny の PayBlend の仕組みで作られた、クラブや個人の名前を冠した決済サービスだ。利用者が知っているのは各サービスの名前で、運営する会社の名前ではないことが多い。対象者には、それぞれのアプリのお知らせ欄で案内するとしている。
Yeny は、関東財務局に資金移動業者 (第00097号) と前払式支払手段の発行者 (第00727号) として登録している。報告先に財務局が入っているのはこのためだ。
電話番号だけでも、使い道はある
Yeny は、今回の情報だけではアプリへの不正なログインや決済には使えないと説明している。そのうえで、同社を装った不審な SMS や電話が届くおそれがあるとして、パスワードやカード情報の入力を SMS や電話で求めることはないと注意を呼びかけた。
電話番号は、ログインには足りなくても、だます相手の名簿にはなる。どのサービスの会員かが分かっていれば、偽のメッセージは本物らしく作れる。今週は大阪市の行政オンラインシステムでも、外部のメール配信サービスへの不正アクセスで利用者のメールアドレス107万件余りが漏えいした (13日の記事)。漏れるのは連絡先だけでも、その連絡先が次の攻撃の入口になる。
次に見るもの
- Yeny のプレスリリースのページ — 同社は新たに分かった情報を各アプリと自社サイトで順次知らせるとしている。接続先の事業者がどこか、流出した経路の詳細が追記されるか
- 個人情報保護委員会の公表資料 — 今回の報告を受けた指導や勧告が出るか。資金移動業者の API 連携の管理が論点になる
ことば
- API — ソフトウェアどうしがデータをやり取りするための窓口。決済会社は提携先と API でつながり、残高の確認や会員の照合を自動で行う。設定を誤ると、許していない相手にもデータを返してしまう。
- 資金移動業者 — 銀行以外で送金の仕事を営むために、財務局に登録した事業者。登録業者は利用者の情報を守る体制を求められ、事故があれば当局へ報告する。
🔗 一次ソース
