対象：ultra pay カード、アスルクラロ沼津Pay、巫神こんPay、東芝ブレイブルーパス東京Payを使っている人、または過去に使って退会した人。本記事は株式会社Yenyの公式発表にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
ultra pay カード、アスルクラロ沼津Pay、巫神こんPay、東芝ブレイブルーパス東京Payを使っている人、または過去に使って退会した人。
- 影響が確認された範囲表で見る ↓
- 電話番号
- 会員ID（同社固有）
- 対象件数
さらに2件
- 原因
- 関係機関への報告
- 未確認事項
- 電話番号と会員ID以外の項目の有無
- 件数のサービス別の内訳
- 漏えいの期間と取得した相手
さらに2件
- 対象者への案内の時期と退会者への対応
- 悪用の被害の有無
- 今やること手順を見る ↓
- ultra payや各チームを名乗るSMS・電話に応じない
- 公式アプリのお知らせ欄で、自分が対象かを確かめる
- SMSの番号や電話の相手に折り返さず、公式の窓口から連絡する
さらに2件
- カードや口座の明細を念のため見ておく
- リンクを開いた・情報を入力したときは、すぐ相談する
- 最終確認日時
- 2026年11月14日時点
発表の続報予定と確認の記録
同社は、2026年11月12日15時時点の情報にもとづくもので、今後の調査で内容が更新される場合があるとしています。新しい情報は、各アプリと同社のサイトで順次案内するとしています。2026年11月14日に同社のお知らせを確認した範囲では、11月12日の発表以降の続報は見当たりませんでした。
利用者が今日やること
ultra payや各チームを名乗るSMS・電話に応じない
同社は、同社を装ったSMSや電話に注意するよう呼びかけています。同社がSMS・電話で、パスワードやカード情報の入力をお願いすることはないとしています。心当たりのないSMSは、URLを開かず、個人情報も入力せず、削除してください。
電話番号が知られていると、「ultra payの利用確認」「チームのPayのキャンペーン」「不正利用の確認」のような、本物らしいSMSや電話が作られやすくなります（当サイトの見解）。見分け方は フィッシングとは にまとめています。
公式アプリのお知らせ欄で、自分が対象かを確かめる
同社は、対象となる利用者にはアプリ内のお知らせ欄で案内するとしています。SMSやメールのリンクではなく、スマホにある公式アプリを自分で開いて、お知らせを見てください。
対象は4つのサービスです。複数のアプリを使っている人は、それぞれのアプリを確認します。案内が見つからないときは、発表に載っている本件専用の問い合わせフォームで確かめられます。
SMSの番号や電話の相手に折り返さず、公式の窓口から連絡する
不審な連絡が来たときは、SMSに書かれた電話番号やURLではなく、公式アプリや同社の公式サイトに載っている窓口から連絡してください。同社は、本件の問い合わせを専用フォームで受け付けています。メールアドレスや電話番号を別途案内する記載は、発表にはありません。
カードや口座の明細を念のため見ておく
同社は決済情報の漏えいは確認されていないとしており、今回の情報のみでは決済には利用できないと説明しています。そのうえで、不審な請求が心配なときは、登録している支払い元（カード会社や銀行）の利用明細を見て、身に覚えのない請求がないか確かめてください。
リンクを開いた・情報を入力したときは、すぐ相談する
不審なSMSのリンク先でカード番号やパスワードを入力した場合は、すぐにカード会社や銀行に連絡し、同じパスワードを使っているサービスのパスワードを変更してください。あわせて、警察相談専用電話（#9110）や消費者ホットライン（188）にも相談できます。アカウントの不審な動きの確かめ方は 不正アクセスされたか確認する方法 を参照してください。
何が起きたのか（株式会社Yenyの発表より）
株式会社Yenyは2026年11月12日、「不正アクセスによる会員情報の漏えいに関するお詫びとお知らせ」を公式サイトに掲載しました。以下はすべて同社の発表内容です。
10月31日
接続先の特定の事業者から、不審なAPI呼び出しがあったとの連絡を受け、初期調査を開始した。11月2日
同じ事業者から、電話番号が漏えいした可能性があるとの連絡を受けた。設定の不備を確認し、緊急メンテナンスで対応した。11月3日〜4日
原因と影響の詳細を調査した。11月5日
会員情報（電話番号・同社固有の会員ID）の漏えいの事実を確認した。11月6日
関東財務局と個人情報保護委員会に報告した。11月12日
お知らせを公表した（15時時点の情報）。
- 対象サービス
- ultra pay カード、アスルクラロ沼津Pay、巫神こんPay、東芝ブレイブルーパス東京Pay
- 対象件数
- 1,332,505件（退会者を含む）
- 流出した情報
- 電話番号、同社固有の会員ID
- 含まれないもの
- クレジットカード番号などの決済情報の漏えいは確認されていない。漏えいした情報のみでは、アプリへの不正ログインや決済には利用できないと説明
- 原因
- 同社のAPI接続設定の不備
- 対象者への案内
- アプリ内のお知らせ欄
- 問い合わせ
- 本件専用の問い合わせフォーム
分かっていること・分かっていないこと
2026年11月14日時点の同社の発表（11月12日）をもとに整理しました。続報が出たら、状態の欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 電話番号 | 漏えいした情報に含まれる | 漏えいを確認（同社） |
| 会員ID（同社固有） | 漏えいした情報に含まれる | 漏えいを確認（同社） |
| 対象件数 | 1,332,505件（退会者を含む） | 漏えいを確認（同社。人数ではなく件数） |
| 件数のサービス別の内訳 | 書かれていない | 記載なし |
| クレジットカード番号などの決済情報 | 漏えいは確認されていない | 含まれない（同社。現時点） |
| 不正ログイン・決済への利用 | 漏えいした情報のみでは利用できないと説明 | 同社の説明 |
| 氏名・メールアドレス・住所 | 項目として挙がっていない | 記載なし |
| 原因 | 同社のAPI接続設定の不備 | 漏えいを確認（同社） |
| 取得した相手・方法・期間 | 接続先の特定の事業者から不審なAPI呼び出しの連絡があった、とのみ書かれている | 記載なし |
| 関係機関への報告 | 11月6日に関東財務局と個人情報保護委員会へ報告 | 漏えいを確認（同社） |
| 対象者への案内 | アプリ内のお知らせ欄 | 実施予定（同社） |
| 退会者への案内 | 件数には含まれるが、案内の方法は書かれていない | 記載なし |
| 悪用の被害 | 確認されたとの記載は見当たらない。同社を装うSMS・電話への注意を呼びかけている | 記載なし |
電話番号と会員IDで何が起きうるか
次の表は、一般にこうした項目の組み合わせで起こり得ることです。この件で実際に起きたという意味ではありません。
| 流出した項目 | 一般に起こり得ること | 利用者の行動 |
|---|---|---|
| 電話番号 | SMSや電話による、本物らしい偽の連絡 | 知らない連絡のURLは開かず、公式アプリで確認する |
| 会員ID（同社固有） | 問い合わせや利用確認を装い、IDを示して信用させる連絡 | IDを言われても本物とは限らない。折り返さず公式の窓口を使う |
| 電話番号＋会員ID | 「アカウントの確認」「不正利用の確認」を名目に、パスワードやカード情報を聞き出す連絡 | 同社は、SMS・電話でパスワードやカード情報を求めないとしている |
流出した情報で起こり得ること
- ultra payや各チームのPayを名乗る、本物らしいSMS・電話
- 「利用確認」「不正利用の確認」を装った、偽サイトへの誘導
- 会員IDを示して信用させる、なりすましの問い合わせ
発表の範囲で、確認されていないもの
- クレジットカード番号などの決済情報の漏えい（現時点）
- 漏えいした情報のみによる、アプリへの不正ログインや決済（同社の説明）
運営者が見直すこと：外部事業者とつなぐAPIの設定
原因の詳細は公表されていないため、ここでは公表された事実から言えることだけを書きます。
- 外部とつなぐAPIが返す項目を絞る：同社は、API接続の設定不備により電話番号を含む会員情報が漏えいしたと書いています。一般に、外部の事業者に向けたAPIは、相手の用途に必要な項目だけを返すように決めておくと、設定を誤ったときの影響が小さくなります。
- 想定外のAPI呼び出しを見張る：同社の発表では、不審な呼び出しを最初に連絡したのは接続先の事業者でした。自社側でも、呼び出しの量や相手の偏りを監視し、異常を見つけたら止める手順を決めておくと、気づくまでの時間を短くできます。同社も、監視・検知体制を見直すとしています。
出典（公開記録）
本記事の事実関係は、以下の公式発表にもとづきます。公表されていない原因の詳細は推測していません。
- 株式会社Yeny「不正アクセスによる会員情報の漏えいに関するお詫びとお知らせ」（2026年11月12日） — yeny.jp
更新履歴
2026-11-14：初版。株式会社Yenyの11月12日の発表にもとづく。同日に公式のお知らせを確認し、続報は見当たらなかった。
次に読む
- 同じ型の事案（決済・プリペイドカードの漏えい）：バリューデザイン「Value Card」への不正アクセス（カード番号・PIN・残高）
- 偽の連絡の見分け方：フィッシングとは ／ スマホを安全に使う基本
- 口座やアカウントの不審な動き：不正アクセスされたか確認する方法
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）