ピザハットの情報漏洩｜決済APIへの不正アクセスで漏れた項目と利用者の対応 2026

日本ピザハット株式会社は2026年10月23日、日本国内向けのオンライン注文サービスに関連するシステムに第三者による不正アクセスがあり、お客様の情報の一部が漏えいしたと発表しました。 漏えいが確認されたのは、お客様ID、メールアドレス、電話番号、削除済みのお客様情報に関する記録、セッションログイントークン、取引記録の6項目で、クレジットカード情報は含まれていないと明記されています。 利用者がまずすることは、ピザハットを装ったメールやSMS、電話のリンクや添付ファイルを開かないこと、そこでパスワードやカード情報を入力しないこと、そしてピザハットの注文サイトやアプリと同じパスワードをほかのサービスで使い回していないかを見直すことです。

この記事では、2026年10月25日時点で日本ピザハットの公式サイトに掲載されている発表だけをもとに、何が起きて、何が分かっていて、何がまだ分かっていないのかを順番に整理します。宅配ピザの注文は、家族の誕生日や在宅で仕事をしている日の昼食など、生活の中で何気なく使う場面が多いサービスです。そのため、注文サイトやアプリに登録したメールアドレスや電話番号は、仕事の連絡にも使っているものと同じであることが珍しくありません。利用者が自分の生活と仕事のどこに影響が及びうるのかを、漏れた項目に沿って具体的に説明します。

2026年10月25日時点で分かっていること

最初に、結論にあたる事実を並べます。どれも日本ピザハットが2026年10月23日に公式サイトの新着情報に掲載した「個人データ漏えいにつながる不正アクセスに関するお詫びとお知らせ」で確かめた内容です。

• 2026年10月19日、第三者が日本国内向けオンライン注文サービスに関連する決済APIに不正アクセスし、お客様情報等を含むデータベースから一部の情報を取得したことが確認された
• 漏えいが確認されている情報は、お客様ID、メールアドレス、電話番号、削除済みのお客様情報に関する記録、セッションログイントークン、取引記録の6項目
• クレジットカード情報は含まれていないと明記されている
• 原因と影響範囲の詳細は、引き続き調査中と書かれている
• 攻撃元IPアドレスのブロック、脆弱性への対応、個人情報保護委員会への速報は実施済み。システム管理体制の見直しと是正措置にも取り組むとしている
• 2026年10月23日時点で、本件に起因する二次被害は確認されていない
• 問い合わせ窓口として、電話番号0120-679-023（受付時間10時から19時）と、公式サイトのお問い合わせフォームが案内されている

発表には、漏えいした情報の件数が書かれていません。報道では件数が取り上げられていますが、日本ピザハットの公式発表で確かめられない数字は、この記事では書きません。件数が公表されていないことをどう読むかは、後の節で説明します。

この中で利用者にとって大きいのは、メールアドレスと電話番号が漏えいしたこと、そしてセッションログイントークンが漏えいしたことの2点です。メールアドレスと電話番号が知られると、ピザハットを装った偽のメールやSMS、電話が届く可能性が高まります。セッションログイントークンとは、一度ログインした後にログインしたままの状態を保つために、サイトやアプリが利用者ごとに発行する目印のようなデータのことです。これが第三者の手に渡ると、場合によってはパスワードを知らなくてもログイン中の状態を引き継がれる可能性があるため、後の節で説明するログアウトとパスワードの見直しが大切になります。

公表の経緯と、続報の有無

日本ピザハットの発表に書かれている経緯は、次のとおりです。発表は2026年10月25日時点で1本だけで、初報と呼べるものがこれにあたります。

日付	発表に書かれている出来事
2026年10月19日	第三者が日本国内向けオンライン注文サービスに関連する決済APIに不正アクセスし、お客様情報等を含むデータベースから一部の情報を取得したことを確認
2026年10月23日	公式サイトの新着情報に「個人データ漏えいにつながる不正アクセスに関するお詫びとお知らせ」を掲載。漏えいした情報の項目、対応状況、問い合わせ窓口を公表

不正アクセスの確認から公表までは4日です。発表には、10月19日から23日の間に何が行われたのかの日ごとの記述はなく、「攻撃元IPアドレスのブロックや脆弱性への対応、個人情報保護委員会への速報は実施しております」と、対応の内容がまとめて書かれています。

2026年10月25日に、日本ピザハットの公式サイトの新着情報の一覧を開き直しました。一覧のいちばん新しい項目は10月23日のこの発表で、続報や訂正はまだ出ていませんでした。発表の中では「現在、原因および影響範囲の詳細について、引き続き調査を行っております」とされており、続報が出る可能性があります。件数や項目が後から変わることもありうるので、気になる人は公式サイトの新着情報を時々見ておくと確実です。発表は企業情報サイト（corp.pizzahut.jp）の新着情報に載っています。注文サイト（pizzahut.jp）とは別のサイトなので、探すときは企業情報サイトのほうを見てください。

発表の原文で確かめる

発表の要点を、原文で確かめておきます。何が起きたのかと、漏えいした情報の範囲についての書き方が大切な部分です。

2026年10月19日、第三者がピザハットの日本国内向けオンライン注文サービスに関連する決済API（システム間で決済関連情報をやり取りする仕組み）に不正アクセスし、お客様情報等を含むデータベースから一部の情報を取得したことが確認されました。 現在、原因および影響範囲の詳細について、引き続き調査を行っております。 出典: corp.pizzahut.jp

ここで押さえておきたいのは、「決済API」という言葉です。APIとは、システムとシステムが決まった手順で情報をやり取りするための窓口のことで、発表では「システム間で決済関連情報をやり取りする仕組み」と説明されています。注文サイトが決済の処理を進めるときに、裏側で別のシステムとやり取りする入口が狙われた、という意味です。「決済」という言葉が入っているため、カード情報が漏れたのではないかと心配になりますが、発表では「クレジットカード情報は含まれておりません」と明記されています。一方で、決済に関わる仕組みを通じて「お客様情報等を含むデータベース」から情報が取得されたと書かれているので、注文のたびに入力する情報ではなく、会員として登録している情報が対象になったと読めます。

また、「一部の情報を取得した」という表現は、データベースの全部ではなく一部が持ち出された、という意味です。どの範囲が「一部」なのかは、件数とともに発表に書かれていません。ここが続報で確かめたい点になります。

漏えいした項目と、含まれないと明記された項目

発表に書かれている項目を、漏えいが確認されたものと、含まれないと明記されたものに分けて整理します。

区分	項目
漏えいが確認された情報	お客様ID
漏えいが確認された情報	メールアドレス
漏えいが確認された情報	電話番号
漏えいが確認された情報	削除済みのお客様情報に関する記録
漏えいが確認された情報	セッションログイントークン
漏えいが確認された情報	取引記録
含まれないと明記された情報	クレジットカード情報

発表に書かれていない項目についても触れておきます。氏名、住所、パスワード、生年月日は、漏えいした情報の一覧にも、含まれないと明記された情報にも出てきません。発表の一覧は「現時点で、外部に漏えいしたことが確認されている情報」なので、一覧に無い項目は「漏えいが確認されていない」という状態です。「漏えいしなかったと確定した」とまでは書かれていないので、続報で項目が追加される可能性は残っています。

項目ごとに、利用者にとって何を意味するのかを説明します。

お客様IDとメールアドレス

お客様IDは、注文サイトやアプリの中で利用者を識別するための番号や文字列です。これ単体で悪用される場面は限られますが、メールアドレスと組み合わさると、「お客様ID○○○○のお客様へ」のように本物らしく見える文面を作る材料になります。メールアドレスは、偽のメールの宛先として使われるだけでなく、ほかのサービスのログインIDとしても使われていることが多いので、後の節で説明する使い回しの見直しにつながります。

電話番号

電話番号が漏れると、SMSでの偽の案内と、電話での偽の連絡の2つの経路が開きます。SMSは文面が短く、送信元の表示も偽装しやすいため、メールより見分けがつきにくいのが特徴です。電話では、注文の確認や返金の手続きを装って、カード番号や暗証番号を聞き出そうとする手口が考えられます。日本ピザハットの発表も「電話などで連絡があったりする可能性」に触れています。

削除済みのお客様情報に関する記録

この項目は、文字どおりに読むと、すでに削除されたお客様情報についての記録です。発表には、この記録に何が含まれているのか、過去に登録を削除した人が対象に入るのかは書かれていません。項目の名前から、以前に会員登録をして、その後に退会や登録の削除をした人にも関わる可能性があると読めますが、ここは発表で確かめられない部分です。「以前使っていたが今は退会している」という人も、自分は無関係と決めずに、後の節で説明する確かめ方と対策を見てください。

セッションログイントークン

前の節で説明したとおり、ログインしたままの状態を保つための目印のデータです。多くのサービスでは、このトークンには有効期限があり、ログアウトすると無効になります。漏えいしたトークンがまだ有効かどうかや、日本ピザハット側でトークンを無効にする処置をとったかどうかは、2026年10月25日時点の発表には書かれていません。利用者の側でできることは、注文サイトとアプリから一度ログアウトして、パスワードを変えてから再度ログインすることです。

取引記録

取引記録に何が含まれているのか（注文日時、注文した商品、金額、配達先など）は、発表に内訳が書かれていません。注文の履歴を知っている相手からの連絡は本物らしく見えてしまうので、「○月○日のご注文について」のような、自分の注文内容が正しく書かれているメールや電話であっても、それだけで本物だと判断しないことが大切です。

原因：決済APIへの不正アクセス（詳細は調査中）

発表に書かれている原因は、「第三者がピザハットの日本国内向けオンライン注文サービスに関連する決済API（システム間で決済関連情報をやり取りする仕組み）に不正アクセスし、お客様情報等を含むデータベースから一部の情報を取得した」というものです。どのような弱点が使われたのか、どのような経路で侵入されたのか、いつから侵入されていたのかは、「現在、原因および影響範囲の詳細について、引き続き調査を行っております」とされ、調査中と発表されています。

対応状況の中に「脆弱性への対応」という言葉があります。脆弱性とは、プログラムや設定の弱点のことで、攻撃者はそこを突いて侵入します。「脆弱性への対応」を実施したと書かれていることから、何らかの弱点が見つかり、それをふさぐ処置がとられたと読めます。ただし、その弱点が決済APIそのものにあったのか、周辺の仕組みにあったのかは発表に書かれていないので、ここでは断定しません。

この種の事案で利用者が知りたいのは、「自分のパスワードは盗まれたのか」という点です。2026年10月25日時点の発表では、漏えいした項目の一覧にパスワードは入っていません。一方で、パスワードが含まれないと明記されているのはクレジットカード情報だけです。パスワードについては「確認されていない」という状態だと受け止めて、念のための見直しをしておくのが安全です。

日本ピザハットの対応

発表に書かれている対応は、次の4点です。発表に無いことは書きません。

• 攻撃元IPアドレスのブロック（攻撃に使われた接続元からの通信を遮断すること）
• 脆弱性への対応
• 個人情報保護委員会への速報
• システム管理体制の見直しと是正措置の実施に取り組む

個人情報保護委員会への速報とは、個人情報を扱う事業者が、漏えいやそのおそれを知ったときに、国の個人情報保護委員会へまず速やかに届け出る報告のことです。個人情報保護委員会の公式ページでは、不正アクセスによって個人データが漏えいした場合は、不正の目的をもって行われたおそれがある事案として報告が義務づけられていること、発覚したらまず速やかに報告し、確報は発覚日から60日以内と説明されています。日本ピザハットの発表は、この速報を実施したと書いています。

一方で、2026年10月25日時点の発表に書かれていないことも整理しておきます。

• 対象となる利用者への個別の通知（メールや郵送）を行うかどうか
• パスワードの初期化や、セッションログイントークンの無効化を会社側で行ったかどうか
• 注文サイトやアプリの利用を一時的に止めているかどうか
• お詫びや補償についての方針
• 漏えいした情報の件数

これらは「発表に書かれていない」というだけで、行われていないとも、行われるとも断定できません。補償や賠償の有無についても、ここでは推測しません。続報で確かめるべき点として、後の節にまとめます。

自分が対象かを確かめる方法

2026年10月25日時点の発表には、対象者に個別に連絡するという記載がありません。そのため、「連絡が来ていないから対象外」とは判断できない状態です。自分が対象かを考える手順を、順番に書きます。

1つ目：注文サイトやアプリに登録したことがあるかを思い出す

今回の対象は、日本国内向けのオンライン注文サービスに関連するシステムに保存されていた情報です。ピザハットの注文サイトやアプリで会員登録をして注文したことがある人は、対象になる可能性があります。登録した覚えがあいまいなときは、自分のメールの受信箱で「ピザハット」や「注文」を検索して、注文確認のメールが残っていないかを見ると手がかりになります。電話で店舗に直接注文していただけで、サイトやアプリに登録していない人は、発表に書かれている範囲からは対象になる記述がありません。

2つ目：退会した人も発表の項目を見ておく

「削除済みのお客様情報に関する記録」という項目があるため、以前に登録してその後に削除した人も、まったく無関係とは言い切れません。発表にはこの記録の中身が書かれていないので、心配なときは窓口に確かめるのが確実です。

3つ目：公式の窓口で確かめる

発表には、電話番号0120-679-023（受付時間10時から19時）と、公式サイトのお問い合わせフォームが案内されています。自分の登録情報が対象に含まれているかを聞きたいときは、この窓口を使います。問い合わせるときは、登録に使ったメールアドレスと電話番号を手元に用意しておくと話が早く進みます。ただし、電話で本人確認のためにパスワードやカード番号を聞かれることは通常ありません。向こうから聞かれた場合は、その電話が本物かどうかを疑ってください。

4つ目：公式サイトの発表を自分で見る

メールやSMSに「あなたの情報が漏えいしました。こちらから確認してください」とリンクが付いてきた場合は、そのリンクを開かず、自分でブラウザに企業情報サイトのアドレスを入力して発表を読んでください。漏えいの発表に便乗して、確認を装った偽のサイトへ誘導する手口が知られています。

利用者がすること：漏れた項目に合わせて

今回漏えいが確認された項目は、メールアドレス、電話番号、セッションログイントークン、取引記録などです。クレジットカード情報は含まれないと明記されています。この組み合わせに合わせて、やることを優先順位の高いものから並べます。

偽のメール・SMS・電話の見分け方

日本ピザハットの発表は、利用者に次のように呼びかけています。

漏えいしたメールアドレス、電話番号などを利用し、当社またはピザハットを装った第三者から、不審なメールやSMSが届いたり、電話などで連絡があったりする可能性がございます。心当たりのない連絡を受けた場合は、記載されたリンクをクリックしたり、添付ファイルを開いたりしないでください。また、その連絡に応じて、パスワード、クレジットカード情報などの重要な情報を入力・提供しないようお願いいたします。 出典: corp.pizzahut.jp

具体的な見分け方を書きます。

• 「返金のため」「注文に不備があった」「アカウントが停止される」など、急がせる文面はまず疑う
• メールやSMSのリンクは開かない。注文サイトやアプリを使うときは、ブックマークや自分で入力したアドレス、公式のアプリから開く
• 電話で、カード番号、暗証番号、パスワード、ワンタイムパスワードを聞かれたら答えない。いったん切って、公式サイトに載っている番号にかけ直す
• 自分の注文内容やお客様IDが正しく書かれていても、それは本物の証拠にならない。今回は取引記録も漏えいしているため、注文の情報を知っている相手からの連絡がありうる
• 送信元のメールアドレスの表示名ではなく、アドレスそのものと、リンク先のドメインを見る。短縮URLは中身が分からないので開かない

総務省の「国民のためのサイバーセキュリティサイト」でも、身に覚えのないリンク（URL）を開かないようにしようとして、金融機関や宅配業者からの緊急の通知を装う手口が多いこと、取引先を装った標的型のメールが増えていることが説明されています。会社や組織の中で、こうした偽のメールを見分ける訓練をどう行うかは、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで、訓練の設計と効果の測り方をまとめています。1人で仕事をしている人も、そこに書かれている「引っかかりやすい文面の型」を知っておくだけで、見分ける力が上がります。

ログアウトして、パスワードを変える

セッションログイントークンが漏えいしているため、注文サイトとアプリの両方で、いったんログアウトすることをおすすめします。ログアウトすると、多くのサービスでは、それまで使っていたトークンが無効になります。その後、パスワードを新しいものに変えて、再度ログインします。日本ピザハットがトークンの無効化やパスワードの初期化を行ったかどうかは発表に書かれていないので、利用者の側でできることを先にやっておく、という考え方です。

パスワードは、ピザハットだけで使っている、推測されにくいものにします。総務省の公式ページでは、推測できる簡単なパスワードを利用しないようにしようとして、最低でも10文字以上のある程度長いランダムな英数字の並びが理想で、覚える必要があるなら無関係な複数の英単語をつなげて数字を挟む方法も紹介されています。名前、電話番号、生年月日、「password」や「123456」のような並びは危険なパスワードの例として挙げられています。今回は電話番号が漏えいしているので、電話番号を使ったパスワードや暗証番号を設定している人は、ピザハット以外のサービスも含めて変えておくのが確実です。

使い回しを見直す

ピザハットの注文サイトやアプリで使っていたパスワードを、ほかのサービス（メール、SNS、ネット通販、仕事で使うクラウドのサービス）でも使っている場合は、そちらを優先して変えてください。今回パスワードの漏えいは確認されていませんが、メールアドレスは漏えいしています。漏えいしたメールアドレスと、別の事案で漏れたパスワードを組み合わせて、ほかのサービスへのログインを試す攻撃の手口が知られています。総務省のページもこの手口に触れ、サービスごとに固有のパスワードを設定することを求めています。あわせて、流出の事実がないのに定期的に変更する必要はないとも書かれているので、「全部を毎月変える」のではなく、「使い回しを無くす」ことに力を注いでください。

数が多くて覚えられないときは、スマートフォンやブラウザの標準機能にあるパスワードの保存機能や、専用のパスワード管理ツールを使います。総務省のページでも、覚える必要のないパスワード管理ツールの利用が推奨されています。ツール自体は、覚えられる十分に安全なマスターパスワードと、端末のロック（生体認証など）で守ります。

多要素認証を設定する

多要素認証とは、パスワードに加えて、スマートフォンに届く確認コードや認証アプリなど、別の要素を組み合わせてログインの本人確認をする仕組みのことです。IPA（情報処理推進機構）の不正ログイン対策特集ページでは、仮にIDとパスワードを不正に利用されてもログインはできないため、不正ログインの防止に効果があると説明され、Apple、Google、Microsoft、Amazonなど主要なサービスの設定方法へのリンクが載っています。ピザハットの注文サイトやアプリに多要素認証の機能があるかどうかは、公式のよくあるご質問やアプリの設定画面で確かめてください。この記事ではその有無を断定しません。少なくとも、今回漏えいしたメールアドレスと同じアドレスで使っているメールサービスやSNS、通販サイトには、多要素認証を設定しておくと、ピザハットの件をきっかけにした別のサービスへの不正ログインを防げます。多要素認証の種類ごとの違いと、どの方式を選ぶかの考え方は、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で、SMS、認証アプリ、物理キーの順に整理しています。

クレジットカードの明細を見ておく

クレジットカード情報は含まれないと明記されているので、カードの再発行をすぐに行う必要があるとは、発表からは読めません。ただし、取引記録が漏えいしていることと、偽の電話でカード情報を聞き出す手口がありうることから、しばらくはカードの利用明細に身に覚えのない請求が無いかを見ておくと安心です。身に覚えのない請求を見つけたら、カード会社に連絡します。これはピザハットに限らず、漏えいの発表があったサービスを使っていたときの基本の動きです。

問い合わせ窓口

日本ピザハットの発表に載っている窓口は、次のとおりです。

項目	内容
名称	日本ピザハット株式会社 お問い合わせ窓口
電話番号	0120-679-023
受付時間	10時から19時
お問い合わせフォーム	公式サイトのよくあるご質問のページ（https://www.pizzahut.jp/faq）

電話をかけるときは、企業情報サイトの発表に載っている番号を、自分で確かめてからかけてください。メールやSMSに書かれた番号は、偽の窓口につながる可能性があるからです。受付時間が土日や祝日も同じかどうかは、発表に書かれていないので、ここでは断定しません。

国の相談先もあります。企業の個人情報の扱いに疑問があるときは、個人情報保護委員会の個人情報保護法相談ダイヤル（電話番号03-6457-9849、受付時間9時30分から17時30分、土日祝日と年末年始を除く）で相談できます。偽のメールを開いてしまった、パスワードを入力してしまったかもしれない、というときは、IPAの情報セキュリティ安心相談窓口（電話番号03-5978-7509、受付時間10時から17時、土日祝日と年末年始を除く）が相談を受け付けています。実際に金銭の被害が出たときは、カード会社への連絡とあわせて、警察の相談窓口にも連絡します。

件数が公表されていないことの読み方

今回の発表には、漏えいした情報の件数が書かれていません。利用者からすると、「何件なのか」は影響の大きさを測る手がかりなので、書かれていないと不安になります。ここでは、件数が無いことをどう受け止めるかを整理します。

まず、発表が「現時点で判明している内容」を速報として出したものだという点です。発表の本文には「原因および影響範囲の詳細について、引き続き調査を行っております」とあり、影響範囲、つまりどの範囲の情報がどれだけ取得されたかが、まだ確定していないことが読み取れます。確定していない数字を出さないという判断は、発表の姿勢として理解できます。

次に、報道で取り上げられている件数についてです。ニュースサイトやSNSでは、具体的な件数が見出しになっています。ただし、2026年10月25日時点で、日本ピザハットの公式サイトにその件数は載っていません。この記事では、公式の発表で確かめられない数字は書かないという方針で、件数を記載していません。読者が別の場所で件数を見かけたときは、「公式の発表に載っている数字か」「どの時点の数字か」を確かめてから受け止めてください。

利用者にとって大切なのは、件数の大小よりも「自分が対象かどうか」と「何をすればよいか」です。件数が少なく見えても自分が含まれていれば対策は必要で、件数が大きく見えても自分が登録していなければ直接の影響は限られます。件数が公表されていない今は、前の節の「自分が対象かを確かめる方法」と「利用者がすること」を基準に動くのが現実的です。件数が続報で公表されたら、「最大」「可能性」「延べ」などの言葉がどう付いているかまで含めて読んでください。「最大○件」は上限の見込みで、「延べ○件」は同じ人が複数回数えられている可能性がある数字です。

在宅で仕事をする人が気をつけること

ピザハットは食事の注文サービスなので、仕事とは関係がないと思うかもしれません。ただ、在宅で仕事をしている人の中には、1つのメールアドレスと1つの電話番号を、仕事にも私用にも使っている人が少なくありません。その場合は、今回の件が仕事にも関わってきます。

仕事用の連絡先で登録していないかを確かめる

まず、ピザハットの注文サイトやアプリに登録したメールアドレスと電話番号が、取引先との連絡に使っているものと同じかどうかを確かめます。同じであれば、そのアドレスや番号にピザハットを装った偽の連絡が届く可能性があるだけでなく、そのアドレスで使っている仕事のサービスにも、ログインを試される危険が高まります。仕事で使うクラウドのストレージ、請求書のサービス、チャットのアカウントのパスワードが、ピザハットと同じになっていないかを優先して確かめてください。

誰の情報で、誰が管理しているかを分ける

漏えいの話を聞くと、「取引先に知らせなければ」と慌ててしまいがちです。まずは、漏えいしたのが誰の情報で、誰が管理していたのかを分けて考えると、落ち着いて判断できます。

今回漏えいしたのは、日本ピザハットが管理していた注文サービスの登録情報です。自分の情報が日本ピザハットから出た、ということで、国への報告や本人への連絡をする立場にあるのは日本ピザハットです。取引先の情報が出たという話ではないので、今回の件だけで、自分が取引先に報告しなければならない場面とは限りません。

自分が報告に関わる側になる場面

注意したいのはその先です。仕事用のアドレスに届いた偽のメールにだまされて、仕事用のアカウントのパスワードを入力してしまうと、そのアカウントに保存されている取引先の顧客の情報まで危険にさらすことになります。そうなると、今度は自分が「預かった情報を漏らしたかもしれない側」になります。

個人情報保護委員会のガイドラインは、個人情報の扱いを任されている側（委託先）がそうした事態を知ったときの、任せた側（委託元）への通知について、次のように説明しています。

委託元への通知については、速報としての報告と同様に、報告対象事態を知った後、速やかに行わなければならない。「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね3～5日以内である。 出典: ppc.go.jp

ガイドラインでは、委託先が委託元にこの通知をしたときは、委託先自身の委員会への報告義務と本人への通知義務が免除され、委託元が報告することになるとも書かれています。取引先から顧客の名簿や問い合わせの記録を預かって仕事をしている人が、自分の側で漏えいのおそれに気づいたら、まず取引先に事実を伝えることが出発点です。自分に報告の義務があるかどうかは、預かっていた情報の中身や契約の形で変わるので、迷うときは取引先と相談し、必要に応じて個人情報保護委員会の相談ダイヤルで確かめるのが確実です。

取引先に伝えるときの書き方

今回の件で取引先に何かを伝えるとしたら、たとえば仕事用のアドレスや電話番号でピザハットに登録していて、その連絡先を取引先とのやり取りにも使っている場合です。「日本ピザハットの発表によると、注文サービスに登録したメールアドレスと電話番号が漏えいした」「取引先の情報が出たという話ではない」「このアドレスや番号を名乗る不審な連絡に注意してほしい」と、事実と推測を分けて短く書くと伝わりやすくなります。

報告の文面は、短く、事実を先に書くのが基本です。取引先にとって知りたいのは「自社に影響があるか」と「何をすればよいか」なので、その2つが冒頭で分かるように書きます。事実と推測を分け、敬語を整えた文書を書く力は、ビジネス文書検定で学ぶ内容とも重なります。

これを機に、仕事用と私用の連絡先を分けておくのも1つの方法です。食事の注文や買い物の会員登録は私用のアドレスと番号で行い、取引先との連絡やお金に関わるサービスは仕事用のもので行う、と分けておくと、今回のような漏えいがあっても、影響が仕事に広がりにくくなります。

自分のアドレスが過去の漏えいに含まれていないかを調べる

今回の件に限らず、自分のメールアドレスが過去の漏えいに含まれていないかは、「Have I Been Pwned」というサイトで調べられます。調べ方と結果の読み方は、Have I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法で順を追って説明しています。今回のピザハットの件がこのサイトに載るかどうかは分かりません。載っていないから対象外、と読まずに、日本ピザハットの公式の発表と窓口で確かめることが大切です。

続報で確かめたい点

2026年10月25日時点の発表では、まだ分かっていないことがいくつかあります。続報が出たら、次の点を確かめると、自分がさらに何をすべきかを判断しやすくなります。

• 漏えいした情報の件数と、「最大」「可能性」などの言葉の付き方
• 不正アクセスの手口と、どの弱点が使われたのか、いつから侵入されていたのか
• 「削除済みのお客様情報に関する記録」と「取引記録」に、具体的に何が含まれていたのか
• パスワードや氏名、住所の漏えいが無いことが、調査の最後まで確かめられたか
• セッションログイントークンの無効化や、パスワードの初期化を会社側で行ったかどうか
• 対象となる利用者への個別の連絡を、どの方法で、いつまでに行うのか
• お詫びや補償についての方針が示されるかどうか

続報を確かめるときは、ニュースサイトやSNSの投稿ではなく、日本ピザハットの企業情報サイトの新着情報を見るのが確実です。また、続報を知らせると称するメールやSMSのリンクから開くのではなく、自分でアドレスを入力して開いてください。

運営者の視点：アカウントを守ることは信用を守ること

@SOHO編集部は、2004年から在宅ワークとフリーランスの仕事の仲介を続けてきました。長くこの市場を見てきて感じるのは、取引先が仕事を任せる人を選ぶとき、技術や実績と同じくらい「情報を安心して預けられるか」を見ているということです。宅配ピザの会員情報の漏えいのように仕事と遠い話でも、自分のアドレスやパスワードの扱いをすぐ見直し、必要なら事実だけを簡潔に伝えられる人は、それだけで信頼を得やすくなります。アカウントの守り方やセキュリティの知識をいかせる仕事の種類は、AI・マーケティング・セキュリティのお仕事で紹介しています。

今回の件で利用者ができることは、派手なものではありません。偽の連絡を開かない、ログアウトしてパスワードを変える、使い回しを無くす、多要素認証を設定する、カードの明細を見る、そして公式の発表と窓口で確かめる。この6つを、今日のうちに順番にやっておくことが、いちばん確実な備えです。

よくある質問

Q. ピザハットの情報漏洩で、何が漏れたのですか？

日本ピザハットの2026年10月23日の発表では、お客様ID、メールアドレス、電話番号、削除済みのお客様情報に関する記録、セッションログイントークン、取引記録の6項目の漏えいが確認されています。クレジットカード情報は含まれないと明記されています。件数は発表に書かれておらず、原因と影響範囲の詳細は調査中とされています。

Q. ピザハットのパスワードは変えたほうがよいですか？

パスワードの漏えいは発表の一覧に無く、確認されていない状態です。ただし、ログイン中の状態を保つセッションログイントークンが漏えいしているので、注文サイトとアプリからいったんログアウトし、パスワードを新しいものに変えてから再度ログインしておくのが安全です。同じパスワードをほかのサービスで使っている場合は、そちらを先に変えてください。

Q. ピザハットを名乗るメールや電話が届いたらどうすればよいですか？

リンクをクリックしたり添付ファイルを開いたりせず、パスワードやクレジットカード情報を入力・提供しないでください。日本ピザハットもそのように呼びかけています。注文内容やお客様IDが正しく書かれていても本物の証拠にはなりません。確かめたいときは、企業情報サイトに載っている電話番号0120-679-023（受付時間10時から19時）に自分でかけ直してください。

Q. 自分が対象かどうかは、どうすれば分かりますか？

2026年10月25日時点の発表には、対象者への個別の連絡についての記載がありません。注文サイトやアプリに登録して注文したことがある人は対象になる可能性があります。「削除済みのお客様情報に関する記録」も漏えいしているため、退会した人も無関係とは言い切れません。心配なときは、公式のお問い合わせ窓口（電話0120-679-023、受付時間10時から19時）に確かめてください。