韓国料理店「ヨプの王豚塩焼 赤坂店」において、当時の店舗従業員が顧客のクレジットカード情報を不正に盗み取る「スキミング」を行い、最大284名分のカード情報が流出した可能性が判明。
外部からのサイバー攻撃ではなく、従業員による内部不正が原因だという。
| ニューストピックス ◆事案発生日：2024年7月1日～2024年10月7日（発覚は2024年10月7日） ◆問題発生した場所：韓国料理店「ヨプの王豚塩焼 赤坂店」（運営会社：YOPU） ◆原因：当時勤務していた店舗従業員による内部不正。決済時に「スキミング」（クレジットカードの磁気データやICチップ情報を不正に読み取る行為）機器を使用して顧客のカード情報を盗み取った。 ◆影響人数：最大284名 ◆流出した可能性がある情報：カード名義人名、クレジットカード番号、有効期限、セキュリティコード ◆事案により影響があった外部あるいは関係組織：複数のクレジットカード会社、警視庁赤坂警察署、個人情報保護委員会 ◆対応状況：問題従業員を解雇し、警察へ刑事事件として捜査を依頼。2026年7月13日に事実を公表し、カード会社と連携した不正利用の監視継続および顧客への利用明細確認を呼びかけ中。再発防止策として、全店舗で「従業員がカードを預からず、顧客自身が決済端末へ差し込む」運用ルールの徹底を指導。 |
同店運営の「YOPU」社によると、事態が発覚したきっかけは2024年10月7日に複数のクレジットカード会社から「同店を利用した顧客のカード情報が流出している懸念がある」との連絡を受けたことだった。
その後の社内調査により、当時同店に勤務していた従業員が、決済用のクレジットカード情報を、スキミング機器を使用して顧客のカード情報を盗み取っていたことが判明。
対象となるのは、2024年7月1日から同年10月7日までの期間に、同店でクレジットカード決済を利用した顧客284名とされており、カード名義人名、クレジットカード番号、有効期限、セキュリティコードが含まれていたという。
公表時点で、284名全員の情報が実際に悪用されたとは発表されていないが、一部について不正利用された可能性があるとして、カード会社と連携して調査が進められている。
YOPUは発覚翌日の2024年10月8日、警視庁赤坂警察署へ刑事事件として相談し、捜査を依頼。
問題の従業員については、犯罪行為および無断欠勤を理由に同年10月9日付で解雇しており、同日中に個人情報保護委員会へ速報を提出している。
なお、カード会社から最初の連絡を受けたのは2024年10月だったが、公表はそこから約1年9カ月後の2026年7月13日となった。
公表に時間を要した理由について同社は、「疑いがある時点で注意喚起とお詫びをすべきところではあったが、不確定な情報の公開が混乱を招くおそれがあると判断し、警察の捜査やカード会社との連携を優先して待ってから告知した」と説明している。
同社およびカード会社は、対象となった顧客のクレジットカードについて、不正な取引が行われないか監視を継続。
対象期間中に同店でカード決済を利用した顧客に対し、クレジットカードの利用明細書に身に覚えのない請求がないか確認するよう呼びかけている。
再発防止策として、同社は全店舗の店長会議にて代表者が直接指導を行い、「従業員がクレジットカードを預からず、顧客自身に決済端末（カード読み取り機）へ差し込んでもらう」という運用ルールを徹底するよう注意喚起と教育を実施した。
【参考】
https://yopu.co.jp/
https://www.saisoncard.co.jp/customer-support/security/20260716_1/