決済アプリを運営する Yeny は11月12日、ultra pay カードなど 4 つのサービスで、会員の電話番号と会員ID が第三者に流出したと公表した。件数は 1,332,505 件で、すでに退会した人も含まれる。
Yeny「不正アクセスによる会員情報の漏えいに関するお詫びとお知らせ」(2026年11月12日)株式会社Yeny
流出したのは電話番号と同社固有の会員ID だけで、同社はこの情報だけでは不正ログインや決済はできないと説明している。それでも、どの決済アプリを使っているかを知られた電話番号には、それらしい SMS が届きうる。使っている人と、以前使っていた人が何を見ておくかを整理する。
対象の 4 サービスと、漏れた 2 項目
対象は次の 4 つだ。
- ultra pay カード
- アスルクラロ沼津Pay
- 巫神こんPay
- 東芝ブレイブルーパス東京Pay
あとの 3 つは、いずれも名前に「by PayBlend」が付く決済アプリだ。流出が確かめられたのは電話番号と会員ID の 2 項目で、クレジットカード番号などの決済情報の漏えいは現時点で確認されていないという。
10月31日の連絡から公表まで
経緯は公表文に日付順で並んでいる。10月31日、同社がつながっている事業者から不審な API の呼び出しがあったと連絡を受け、調べ始めた。11月2日には電話番号が漏れた可能性があると連絡を受け、原因が API 接続の設定の不備だったことを確かめて緊急メンテナンスで対応した。11月5日に漏えいを確認し、6日に関東財務局と個人情報保護委員会へ報告、12日に公表している。
漏えいを確認してから公表まで 1 週間あった。その間に偽の SMS が届いていたかどうかは、公表文には書かれていない。
番号は変えにくい
同社は、今後同社を装った不審な SMS や電話が届く可能性があるとして、本文中の URL を開かず、個人情報を入力せずに削除するよう呼びかけている。同社が SMS や電話でパスワードやカード情報の入力を求めることはないという。
パスワードなら変えれば済むが、電話番号は簡単には変えられない。番号を変えれば、銀行や役所、職場に届け出た連絡先も書き換えることになる。現実的には、番号はそのままにして、決済アプリやカードの名前を出してくる SMS を疑う構えをしばらく続けることになる。退会して存在を忘れていたアプリの名前で連絡が来ても、まず手を止めてよい。
自分が対象かどうかは、アプリ内のお知らせ欄で案内するとされている。アプリを消してしまった人がどう確かめるのかは、公表文からは読み取れない。問い合わせは同社のお問い合わせフォームで受け付けている。知らせが届いてからの順番は、漏えいの知らせが来たらやること、順番つきの手順にまとめてある。
次に開くのは、Yeny のお知らせのページだ。公表文は 12日午後3時時点の情報で、更新するとしている。退会者への知らせ方が示されるかを確かめたい。
ことば
- API — サービス同士がデータをやりとりするための窓口。今回は、同社がつながっている事業者との間の接続の設定に不備があり、そこから会員情報が取り出された。
- 会員ID — 同社がアプリの会員ごとに振った固有の番号。単独では意味を持ちにくいが、電話番号と組み合わさると、ある人がどのサービスの会員かを示す手がかりになる。
スマホに入れたまま使っていない決済アプリは、いくつあるだろうか？
