出光興産のカーメンテ予約に不正アクセス｜情報漏えいの可能性

出光興産（東証プライム）は2026年11月10日、車の点検・整備をサービスステーションで予約できる「idemitsu カーメンテ予約」（旧称「PIT in plus」）が第三者から不正アクセスを受け、客の情報が外部に漏えいした可能性があると公表しました（出光興産の2026年11月10日の発表）。 11月10日からサービスを止めていて、予約・変更・取り消しはできません。 このサービスで点検・整備を予約したことがある人に関係します。

公表された内容

• 気づいたきっかけ：2026年11月7日に、通常とは異なるアクセスを検知した
• 分かったこと：11月9日、第三者による不正アクセスがあり、客の情報が外部から取得できる状態にあったことを確認した
• 漏えい：外部に漏えいした「可能性」としています。漏えいの有無・対象の客・影響の範囲は詳しく調べている途中です
• 情報の種類・件数：公表されていません
• 侵入の経路・原因：公表されていません
• サービス：11月10日から一時停止。予約の変更・取り消しは店舗へ直接連絡するよう案内しています。再開の時期は決まっていません
• 10月9日に公表した「お客さま情報の誤表示等」とは別の事象だとしています

会社の対応

• サービスを止め、詳しい調査を進めている
• 調査で分かったことは、あらためて知らせるとしています

中小企業が今日からできること

• 予約・会員のサイトのアクセスの記録を見ているかを確かめる：今回は、通常と違うアクセスの検知から2日で不正アクセスを確かめました。予約サイトを任せている会社に、異常なアクセスを知らせる仕組みがあるかを聞いておく
• 「外から取得できる状態」になっていないかを点検する：予約の画面や API で、ログインなしに他人の予約や会員の情報が見えないかを、制作会社と一緒に確かめる
• 止めたときの受付の手順を決めておく：予約のサイトを止めると、変更・取り消しは店舗の電話に集まります。止めたときに誰がどう受けるかを決めておく
• 予約のサイトで持つ情報を減らす：予約に要らない項目（生年月日など）を集めていないかを見直す