ハンバーガーチェーン「バーガーキング」を国内で展開するビーケー・ジャパンは10月15日、公式アプリの会員情報を管理するシステムが第三者による不正アクセスを受け、約1118万件の会員情報が漏えいしたと発表した。氏名、メールアドレス、電話番号、生年月日などが対象で、クレジットカード番号は同社が保有していないため漏えいしていない。ログインパスワードの漏えいも現時点では確認されていないとしている。
事案の詳細
報道によると、不正アクセスは2026年10月2日から7日にかけて行われた。同社は社内で異常を確認して調査を進め、10月13日に会員情報の漏えいが判明した。侵入経路や原因については、外部の専門機関と連携して調査中で、現時点で公表されていない。
漏えいした情報は次の通り。
- 会員識別番号（会員ID）
- 氏名（漢字・カナ）
- メールアドレス、電話番号
- 生年月日、性別、都道府県
- 会員の登録種別、モバイルオーダーの利用履歴の有無、メールアドレス認証の有無
同社はクレジットカード番号を保有しておらず、カード番号は漏えいしていないと説明している。ログインパスワードについては、現時点で漏えいは確認されていないとしている。発表時点で、本件に起因する不正利用などの二次被害は確認されていない。
同社は、不正アクセス元からの通信の遮断、対策本部の設置、個人情報保護委員会への報告を実施した。外部専門機関と連携して侵入経路と原因の調査を続けながら再発防止策を進めるとともに、対象者にはメールで順次連絡している。
影響と背景
約1118万件という規模は、2026年9月以降に国内で相次いで公表された情報漏えいの中でも、Gyazo（約2362万件）、スカイチケット（約1464万件）などと並ぶ最大級の一つにあたる。漏えいした項目には、氏名・電話番号・メールアドレス・生年月日がそろっており、本人を特定したうえで送られる、精巧なフィッシングメールやSMS、なりすまし電話の材料になるおそれがある。
なお、ビーケー・ジャパンでは2024年にも、公式アプリの脆弱性を突いた不正アクセスで会員情報が流出した事案が公表されている（当時の記事）。今回の不正アクセスとの関係や、今回の侵入経路が公式アプリに関わるものかどうかは、現時点で明らかにされていない。公開アプリを起点にバックエンドのサーバーを狙う手口については、NICTが「A2B攻撃」として注意喚起しているが（解説コラム）、本件がこれに該当するかは確認されていない。
対策・今後の展望（会員向け）
- 公式の案内を確認する：対象者には同社からメールで連絡が届く。内容は公式サイトや公式アプリの告知でも確認し、メール内のリンクからの操作に頼らない。
- 「お詫び」「クーポン進呈」を装う連絡に注意する：同社は、同社を装った不審なメール、SMS、電話への注意を呼びかけている。記載されたURLへのアクセス、添付ファイルの開封、会員情報やパスワードの入力をしないこと。飲食チェーンでは「お詫びクーポン」を口実にした偽メールが特に警戒される。
- パスワードの使い回しを見直す：パスワードの漏えいは確認されていないが、同じメールアドレスとパスワードを他のサービスでも使っている場合は、念のため変更を検討したい。
- 電話番号あての不審なSMS・電話に警戒する：電話番号と氏名が組み合わさって漏えいしているため、宅配業者や公的機関を名乗るSMSなど、同社とは無関係を装った詐欺にも注意が必要だ。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが支援する中小企業のMDR運用や脆弱性診断でも、会員アプリ・モバイルオーダーなど、スマートフォンアプリと連携するバックエンドの会員管理システムは、アクセス権限の確認や大量取得の検知が手薄になりやすい領域です。不正アクセスが数日間続いてから異常に気付くケースも少なくありません。
【平易な解説】会員名簿そのものが持ち出された状態です。カード番号やパスワードが含まれていなくても、「名前・電話番号・メールアドレス・生年月日」がそろえば、攻撃者は本人宛てに、それらしい連絡を送ることができます。届いた連絡が本物らしく見えるほど、慎重に扱う必要があります。
【今週中にできること】会員アプリや会員サイトを運営する事業者は、会員情報の一括取得・大量照会を検知するアラートがあるか、短時間の大量アクセスを遮断できるかを確認してください。利用者の立場では、「お詫び」や「特典」をうたうメール・SMSのリンクを開かず、公式アプリから直接確認する習慣をつけることが最も効果的です。
参照: バーガーキング、約1118万件漏えい 公式アプリ会員システムに不正アクセス（ITmedia NEWS） ／ バーガーキング、公式アプリの会員情報約1118万件が不正アクセスにより漏えい（INTERNET Watch） ／ バーガーキング アプリの会員情報 約1118万件漏えい（NHK）