バーガーキング公式アプリに不正アクセス、会員約1,118万件が漏えい

日本でバーガーキングの店舗を運営するビーケー・ジャパンは2026年10月15日、公式アプリの会員情報約1,118万件に外部の第三者がアクセスしたと発表しました。データには氏名、電話番号、メールアドレス、生年月日などが含まれます。今回の漏えいは、今月相次いでいる日本企業への攻撃の中でも最大級のものの1つです。詐欺を働く者にとっては、狙う相手の一覧がそのまま手に入ることになります。

ITmedia NEWSによると、不正アクセスは10月2日から10月7日まで続き、同社は10月13日にこれを把握しました。アクセスは、アプリの会員情報を管理するシステムに及びました。攻撃者がどのように侵入したかについて、同社は明らかにしていません。

流出した情報

ITmediaとGAME Watchは、同じ項目を挙げています。この発表を英語で報じたBleepingComputerは、そのうちの1項目を注文履歴と説明しています。

漏えいした情報	漏えいしていない情報
会員ID	クレジットカード番号（同社は保有していないとしています）
氏名（漢字・カタカナ）	ログインパスワード（現時点で漏えいは確認されていません）
メールアドレスと、その認証の有無
電話番号
生年月日、性別
会員が住む都道府県
登録種別
モバイルオーダーの利用有無

同社は、データの不正利用などの二次被害は確認されていないとしています。BleepingComputerの英訳では、同社は「多大なるご迷惑とご心配をおかけし、深くお詫び申し上げます」と述べています。

同社の対応

ITmediaによると、ビーケー・ジャパンはアクセス元からの通信を遮断し、対応チームを設置しました。このほか、次の対応を取りました。

• 日本の個人情報保護の監督機関である個人情報保護委員会への報告
• 対象となる会員への個別の連絡の開始
• 外部の専門家と連携した、侵入経路と原因の調査の開始
• 再発防止に向けたセキュリティと監視体制の強化への着手（GAME Watchによる）

同社は会員に対し、偽のメッセージへの注意も呼びかけました。ITmediaによると、バーガーキングを装った不審なメール、SMS、電話に注意するよう求めています。そうしたメッセージ内のリンクや添付ファイルは開かないよう呼びかけています。会員情報やパスワードも、決して入力しないよう求めています。

相次ぐ攻撃の波の中で

今回の漏えいは、日本企業にとって厳しい月に起きました。日本政府は、20社を超える企業が攻撃を報告したことを受け、10月9日にサイバー攻撃への警戒を強めました。カーシェアリングサービスのタイムズカーだけでも、約660万件のアカウントが流出しています。

約1,118万件というバーガーキングの漏えいは、その前回の記事で取り上げたどの事例よりも大きな規模です。情報源はいずれも、この漏えいをほかの攻撃と結び付けていません。同社も攻撃者の名前を挙げていません。

開発者にとっての意味

• 連絡先データを機密情報として扱うこと。 今回はカード番号もパスワードも漏えいしていませんが、それでもこのデータは標的型の詐欺に使えます。氏名、電話番号、メールアドレス、生年月日がそろえば、詐欺師はもっともらしいメッセージを書けます。
• 各項目を保存する理由を問うこと。 アプリは、マーケティングのために生年月日、性別、地域を集めることがよくあります。保存する項目が1つ増えるごとに、漏えいしうる項目も1つ増えます。使っていない項目は削除してください。
• 決済データを自社のシステムに置かないこと。 ビーケー・ジャパンはカード番号を保有していないとしており、そのため漏えいすることもありませんでした。カード情報の保存を決済事業者に任せれば、今回のような侵害の被害を抑えられます。
• 検知の遅さに注意すること。 アクセスは6日間続き、同社がそれを把握したのはさらに6日後でした。会員データベースで異常な一括読み出しがあった際にアラートを出せば、この差を縮められます。
• 詐欺師が動く前にユーザーに警告すること。 ビーケー・ジャパンは、どのような偽メッセージに注意すべきかを会員に伝えました。多くの会員を抱えるアプリを運営しているなら、必要になる前に、今のうちにその警告を準備しておいてください。