出光「idemitsu カーメンテ予約」に不正アクセス、サービス停止

出光興産は2026年11月10日、予約サービス「idemitsu カーメンテ予約」（旧称PIT in plus）が第三者の不正アクセスを受け、利用者の個人情報の一部が外部に漏えいした可能性があると公表しました。サービスは同日から止めています。漏えいの有無、対象の人数、情報の項目は、まだ調べている途中です。

何が起きたのか

同社の第一報によると、11月7日（土）にこのサービスでいつもと異なるアクセスを検知し、すぐに調査を始めました。11月9日（月）、第三者による不正アクセスがあり、利用者の情報が外から取得できる状態にあったことを確認しています。

侵入の経路や手口と、実際にどれだけの情報が持ち出されたかは、第一報に書かれていません。

漏えいした可能性がある情報

項目と件数は公表されていません。同社は漏えいの有無、対象となる利用者、影響の範囲を詳しく調べていて、対象の利用者には確認がとれしだい個別に連絡するとしています。新たに知らせるべきことが分かれば、すぐに公表するとしています。

10月の誤表示とは別の事象

このサービスでは10月9日にも別の問題を公表していました。9月30日から10月1日にかけてと、10月6日の2つの時間帯に、利用者の氏名やメールアドレスなどが別の利用者の画面に表示され、予約がシステムに正しく反映されない可能性があったものです。原因は表示を速くするために使っていたシステムの設定の不備でした。氏名とメールアドレスが表示された可能性がある会員IDは683件、住所などの詳細まで表示された可能性があるのは2件、予約が正しく反映されていない可能性があるのは928件でした。

同社は今回の不正アクセスについて、この誤表示とは異なる事象だと説明しています。

サービスの停止と利用者へのお願い

停止の間は、サービスでの予約、予約内容の変更や取り消しができません。変更や取り消しをしたい人は、予約した店舗に直接問い合わせるよう案内しています。再開の時期は安全性を確かめてから改めて知らせるとしています。

同社は自社やサービスの関係者を装った不審な電話やメールに注意するよう呼びかけています。この件で同社がパスワードや口座情報を尋ねることはないとし、心当たりのない連絡を受けたら、URLを開いたり返信したりせず、土日祝日も受け付けている特別の問い合わせ窓口に連絡するよう求めています。

中小企業が学べること

今回の第一報は検知から3日目に出され、件数や項目が分からない段階で、サービスを止めたこと、利用者がすること、問い合わせ先を先に知らせています。

自社でウェブの予約や問い合わせを受けている会社は、いつもと違うアクセスに気づける記録と通知の仕組みがあるか、止めると決めたときに誰が判断して利用者にどう知らせるかを決めておくと、同じ順で動けます。個人情報保護委員会への報告の期限と書く内容は、個人データが漏れたときの報告 速報は3〜5日、確報は30日にまとめています。