適用對象：持有店家預付卡（內部電子貨幣）的人，例如日本 MOS Burger 連鎖店的預付卡 MOS Card，以及將此類卡片系統外包的企業。本文以 PayCloud Holdings、Value Design 與 MOS Food Services 的官方公告為依據，不涵蓋攻擊的運作方式。
事件進行中：本文將隨相關機構發布更多資訊而更新
截至 2026 年 10 月 26 日尚不明確
- 其他受影響的發行商與卡片
- MOS Card 數字與 Value Card 總數的關係
- 持卡人如何設定新的 PIN
- 未發行與未流通卡片將如何處理
- 被利用的是哪一項弱點
PayCloud Holdings 在 10 月 23 日的公告中表示，將儘快公布任何新發現的事實。MOS Food Services 也表示，將儘快於其網站發布任何應揭露的新資訊。我們於 10 月 26 日查看各公司的新聞列表時，尚未發布後續資訊。
持卡人今天應該做什麼
檢查您的 MOS Card 使用紀錄
MOS Food Services 請持卡人檢查是否有不明使用情形，例如餘額被扣款。若發現任何異常，請聯絡 MOS Card 專用客服專線。
客服專線營業時間為 9:00 至 22:00。10 月 26 日（星期一）前電話為 03-3496-8322，10 月 27 日（星期二）起為 0120-395-126（日本國內免付費）。
若線上查詢餘額功能失效，請致電客服
該公司表示，與外洩卡號相關的 PIN 已被強制重設。在店內使用、線上點餐及「桌邊點餐」均不受影響。
若您無法完成以下任一操作，公司請您聯絡客服專線：
- 線上查詢餘額
- 在官方應用程式中註冊卡片
- 在線上點餐時以訪客身分使用 MOS Card 消費
客服人員可能會詢問簡單的身分確認問題，例如您常去的分店或您的餘額。
不要回答任何索取 PIN 或卡號的人
這次外洩的事件中沒有姓名或聯絡資料外洩。即便如此，事件見諸新聞後，常有人假冒公司或卡片公司打電話或傳訊息，要求提供號碼以「重設 PIN」或「保護餘額」。
若有人以電話、電子郵件或簡訊索取您的 PIN 或卡號，請不要回覆。請自行撥打官方公告中的電話進行確認（如何辨識詐騙：什麼是網路釣魚？）。
其他店家預付卡，請查看發卡單位的公告
Value Card 是 Value Design 向多家卡片發行商提供的系統。Value Design 表示，正向已確認未經授權存取的部分客戶公司回報進度，但除 MOS 外，哪些發行商受到影響尚未揭露。
若您持有店家預付卡，請查看發行該卡之店家或公司官方網站上的公告，並依其指示決定是否補發卡片或更換 PIN。截至 10 月 26 日，MOS Food Services 尚未宣布補發卡片。
為何卡號加上 PIN 很重要
許多預付卡是以卡號與 PIN 而非姓名來識別持卡人。MOS Food Services 的公告列出，受 PIN 重設影響的功能包括線上查詢餘額、應用程式註冊，以及線上點餐的訪客消費。該公司表示重設 PIN 是為了防止誤用。一般而言，即使沒有姓名或地址，在某些情況下卡號加上 PIN 仍足以使用餘額。
事件經過（依公司公告）
2026 年 10 月 23 日，三家公司發布公告：Value Design Inc.（Value Card 的營運者）、其母公司 PayCloud Holdings, Inc.（於東京證券交易所成長市場上市），以及 MOS Card 的發行方 MOS Food Services, Inc.，後者委託 Value Design 營運及維護 MOS Card 伺服器。MOS Food Services 的公告未提及「Value Card」之名稱。Value Design 自身的公告則請讀者參閱其母公司的揭露資料以了解詳情。以下內容均來自這些公告。
2026 年 10 月 14 日（週三）至 10 月 18 日（週日）
Value Design 偵測到針對 MOS Card 管理系統的可疑存取與未經授權的登入嘗試，並立即採取封鎖存取等緊急措施（MOS Food Services 公告）。10 月 19 日（週一）
PayCloud Holdings 所稱確認事件的日期。10 月 22 日（週四）
Value Design 發布公告，表示基於對 PHP 弱點的預防考量，已暫停其他服務（Arara Cashless 及線上儲值服務）。該公告稱 Value Card ASP 服務仍在運作。任何公告均未說明此事件與此有關聯。10 月 23 日（週五）
PayCloud Holdings（證交所揭露）、Value Design 與 MOS Food Services 公布此事件。MOS Food Services 表示已強制重設與外洩卡號相關的 PIN（未提供重設日期）。10 月 27 日（週二）
MOS Card 客服專線預定切換為 0120-395-126（日本國內免付費）。
- 受影響系統
- Value Card 伺服器，即 Value Design 向卡片發行商提供的內部電子貨幣發行服務
- 外洩資料
- ID 號碼、PIN、餘額資訊
- 紀錄數
- 1,424,748 筆（569,224 筆已發行 ID，855,524 筆未發行 ID）。未發行 ID 指尚未由使用者購買的 ID
- 個人資訊
- 無
- 對使用者的影響
- 已發行 ID 遭誤用的風險已獲處理。無誤用造成的實際損害。部分使用者可能因應變措施而感到不便
- 原因
- 第三方利用子公司系統環境部分區域的網頁伺服器弱點
- 應變措施
- 發現後不久即封鎖存取途徑，並通報相關機關。將與外部專家共同重新檢查所有服務的弱點
- 外洩資料
- MOS Card 卡號（16 位）、PIN（6 位）、餘額資訊
- 紀錄數
- 1,133,070 筆，約占 380 萬張已發行卡片（約 57 萬張流通中，約 56 萬張尚未流通）
- 未包含
- 姓名、地址、電話號碼與信用卡資料等個人資訊
- 發現方式
- 已確認外洩是由使用外部程式進行的未經授權存取所造成
- 損害
- 截至 10 月 23 日，無因本事件造成損害的客戶詢問
- 初步應變
- 強制重設與外洩卡號相關的 PIN
- 聯絡方式
- MOS Card 專用客服專線（9:00 至 22:00）：10 月 26 日前為 03-3496-8322，10 月 27 日起為 0120-395-126
Value Card 平台（Value Design）
ID 號碼、PIN 與餘額外洩：1,424,748 筆紀錄（PayCloud Holdings）
↓ Value Design 客戶中的卡片發行商
MOS Card（MOS Food Services）
1,133,070 筆紀錄。PIN 已強制重設
其他發行商
名稱、卡片與數字均未揭露
↓ 持卡人
檢查使用紀錄，依發卡單位指示辦理，絕不分享 PIN
已知與未知事項
依據截至 2026 年 10 月 26 日三家公司的公告（均為 10 月 23 日發布）。後續有新資訊時，我們將更新狀態欄。
| 項目 | 公告內容 | 狀態 |
|---|---|---|
| ID（卡片）號碼、PIN、餘額 | Value Card 與 MOS Card 所管理的資料 | 外洩已確認（PayCloud Holdings、MOS Food Services） |
| Value Card 總數 | 1,424,748 筆（569,224 筆已發行，855,524 筆未發行） | 已確認（PayCloud Holdings） |
| MOS Card 總數 | 1,133,070 筆（約 57 萬張流通中，約 56 萬張未流通） | 已確認（MOS Food Services） |
| 姓名、地址與其他個人資訊 | 無。MOS 列出姓名、地址、電話號碼與信用卡資料 | 未包含（兩家公司） |
| 誤用 | 已發行 ID 遭誤用的風險已處理，無實際損害。MOS 無損害詢問 | 無實際損害（PayCloud HD）；無損害詢問（MOS） |
| MOS Card PIN | 與外洩卡號相關的 PIN 已強制重設 | 已確認（MOS Food Services） |
| 原因 | 第三方利用網頁伺服器弱點。未說明是哪一項 | 已確認（PayCloud Holdings）；細節未說明 |
| 其他發行商 | 正向部分客戶公司回報進度，但未提供公司或卡片名稱 | 未說明 |
| MOS Card 數字與總數的關係 | 兩家公司採用不同的分類方式（已發行／未發行 與 流通中／未流通）；MOS 數字是否屬於總數未說明 | 未說明 |
| 與 10 月 22 日因 PHP 弱點暫停其他服務的關聯 | 10 月 23 日公告中未提及 | 未說明 |
| 未發行與未流通卡片的處理 | 未提及 | 未說明 |
為何我們不將數字相加
1,424,748 是 PayCloud Holdings 提供的 Value Card 總數，1,133,070 是 MOS Food Services 提供的 MOS Card 數字。兩家公司的分類方式不同，且兩者都未說明 MOS Card 數字是否已包含於總數中。本文分開呈現這兩個數字，不做加減。
卡號、PIN 與餘額外洩後可能發生的情況
一般而言，若有人得知預付卡的號碼與 PIN，可能發生以下情況（本次事件並無公告指出已發生這些情況；PayCloud Holdings 表示無實際損害，MOS Food Services 表示未接獲損害詢問）。
一般可能發生的情況
- 有人使用卡號與 PIN 冒充持卡人，在線上消費餘額
- 藉由新聞話題進行的詐騙電話或訊息，聲稱您必須「重設 PIN」才能取得號碼
您可以做的事
- 檢查使用紀錄，留意是否有不認識的扣款
- 依發卡單位的指示辦理（重設 PIN、補發卡片）
- 絕不把 PIN 或卡號提供給任何索取者
若想了解姓名與聯絡資料曾被查看的預付卡與點數案例，請參閱Seicomart 應用程式資料外洩事件。本案恰好相反：沒有姓名外洩，但使用卡片本身所需的號碼外洩了。
將預付卡系統外包的企業
已揭露的唯一原因是「網頁伺服器弱點」；究竟是哪項產品或弱點仍不得而知。本節僅依據已揭露的事件順序與外洩項目進行說明。
了解您的哪些資料存放於供應商平台
在本次事件中，平台營運者發布了整體數字，而發卡方 MOS Food Services 則發布了其自有卡片的數字。發卡方必須以自己的用語向客戶說明哪些人受影響，以及該怎麼做。請平時就確認有多少卡號、PIN 與餘額（包括尚未售出的卡片）保存於供應商平台上。
預先擬定大量重設 PIN 的程序
MOS Food Services 強制重設了與外洩卡號相關的 PIN，並表示店內使用不受影響。另一方面，部分持卡人已無法線上查詢餘額或註冊應用程式，因此公司透過客服專線處理。事先決定大量重設 PIN 後持卡人會失去哪些功能，以及如何設定新 PIN，可使公告更快發布。
保護尚未售出卡片的資料
在兩家公司的細項中，外洩紀錄約有 50–60% 為尚未售出的卡片。未售出卡片的卡號與 PIN 一旦售出即可使用。請檢視未售出卡片資料的存放位置，以及是否可在售出前更換其 PIN，就如同對待使用中的卡片一樣。
MOS Food Services 列出的防止再發生措施包括：加強對承包商的安全稽核、加強防範透過 API 的未經授權存取、限制簡單或高風險的密碼、為管理員帳號設定來源 IP 位址限制，以及加強監控（包括承包商環境）。這些是該公司表示將採取的措施，並非對本事件原因的說明。
資料來源（公開紀錄）
本文事實係依據以下公開資訊。我們未推測未揭露的攻擊細節或原因。
- PayCloud Holdings, Inc.，關於合併子公司所提供系統遭未經授權存取的公告（2026 年 10 月 23 日，證交所揭露，日文）— release.tdnet.info（PDF）
- Value Design Inc.，關於其所提供系統遭未經授權存取的公告（2026 年 10 月 23 日，日文）— valuedesign.jp
- MOS Food Services, Inc.，關於因未經授權存取導致預付卡資訊外洩的公告（2026 年 10 月 23 日，證交所揭露，日文）— eir-parts.net（PDF）
- MOS Burger 官方網站，關於 MOS Card 資訊外洩的重要公告（2026 年 10 月 23 日，日文）— mos.jp
- Value Design Inc.，為因應嚴重 PHP 弱點而暫停部分服務的公告（2026 年 10 月 22 日，日文；未說明與本事件有關）— valuedesign.jp
更新紀錄
2026-10-26：首次發布，依據 PayCloud Holdings、Value Design 與 MOS Food Services 於 10 月 23 日的公告撰寫。日後若有其他發行商或原因公布，我們將予以更新。
延伸閱讀
- 預付卡與點數案例：Seicomart 應用程式資料外洩事件
- 後續詐騙：什麼是網路釣魚？
- 透過服務供應商的外洩事件：Temairazu 資料外洩事件
- 2026 年重大事件：2026 年日本重大資料外洩事件 / 資料外洩與網路攻擊事件一覽（日本及全球）
- 給營運者：組織的最低安全基準