バーガーキングのアプリ会員約1,118万件が漏えい、注文の有無やメール認証の状態も
| 項目 | 内容 |
|---|---|
| 発生・公表日 | 不正アクセス: 2026年10月2日〜10月7日 / 漏えい判明: 10月13日 / 公表: 10月15日 |
| 対象組織・業界 | 株式会社ビーケー・ジャパン／ハンバーガーチェーン「バーガーキング」を国内で展開 |
| 攻撃手法 | 第三者による不正アクセス（経緯と原因は調査中） |
| 対象システム | 公式アプリの会員情報を管理するシステム |
| 対象件数 | 公式アプリ会員情報 約1,118万件 |
| 対象情報 | 会員ID・メールアドレス・氏名（漢字・カナ）・生年月日・性別・都道府県・電話番号・登録種別・モバイルオーダー履歴の有無・メールアドレス認証の有無 |
| 情報源 | ビーケー・ジャパン「不正アクセスによる公式アプリ会員情報漏えいに関するお詫びとお知らせ」（2026年10月15日）、INTERNET Watch（10月15日）、アプリの機能は App Store の公式アプリ説明 |
株式会社ビーケー・ジャパンは2026年10月15日、公式アプリの会員情報が漏えいしたと公表しました。同社は「バーガーキング」を国内で展開しています。
不正アクセスを受けたのは、公式アプリの会員情報を管理するシステムです。アクセスは10月2日から7日にかけて行われました。漏えいした会員情報は約1,118万件です。
公式アプリでは、毎週更新されるクーポンを受け取れます。モバイルオーダーで注文から支払いまで済ませることもできます。購入金額に応じてステージが上がり、特典が増える仕組みもあります。クーポンや特典を使うには会員登録が必要で、漏えいしたのはこの会員の情報です。
漏えいした項目は、会員ID・メールアドレス・氏名・生年月日・性別・都道府県・電話番号です。登録種別のほか、モバイルオーダー履歴やメールアドレス認証の有無も含まれます。
クレジットカード番号は同社が保持しておらず、漏えいしていないとしています。ログインパスワードの漏えいは、現時点で確認されていません。不正利用などの二次被害も確認されていないと説明しています。
- 2026年10月2日〜7日: 会員情報を管理するシステムに不正アクセス
- 時期不明: 同社が不正アクセスの可能性を確認し、調査を開始
- 2026年10月13日: 調査の結果、会員情報の漏えいが判明
- 把握後: 通信元からのアクセスを直ちに遮断し、暫定対策を実施
- 2026年10月15日: 同社が公表。個人情報保護委員会にも報告済み
同社は対策本部を設けました。外部の専門機関と連携し、不正アクセスが可能になった経緯と原因を調べています。対象の会員には、メールで順次案内を送っています。
不正アクセスの可能性に気づいた日と、そのきっかけは公表されていません。
同じ時期に公表されたアプリ会員情報の漏えい
Section titled “同じ時期に公表されたアプリ会員情報の漏えい”10月に入り、外食・小売のアプリで会員情報の漏えいが続いています。
| 組織 | 対象 | 件数 | 公表日 |
|---|---|---|---|
| 物語コーポレーション（焼肉きんぐ） | 公式アプリの会員管理システム | 1,078万8,963件 | 10月5日 |
| ローソン | ローソンID・ローソンアプリ予約 | 215万5,345件 | 10月8日 |
| ライドオンエクスプレス（銀のさら） | 公式サイト・アプリの登録情報を保管するサーバー | 最大約650万件（可能性） | 10月13日 |
| ビーケー・ジャパン（本件） | 公式アプリの会員情報を管理するシステム | 約1,118万件 | 10月15日 |
焼肉きんぐの会員管理システムでも、10月2日に不正アクセスが検知されています。各社の事案の関係は公表されていません。
クーポンや特典で会員を集めているアプリほど、会員は届いたお知らせを開き、リンクを押す習慣を持っていると考えられます。販促としては成功の証しですが、会員情報が漏えいした後は、その習慣が偽の連絡にも向きます。本件の漏えい項目にはメールアドレス認証の有無も含まれ、届くアドレスを選び出せると考えられます。販促で成果を上げているアプリほど、二次被害のリスクは高くなります。
そこで注意喚起は、公表時のメール1通で終わらせません。アプリのお知らせ・プッシュ通知・メール・SNSなど、普段クーポンを届けている経路で出します。偽の連絡が出回りやすい期間は、販促と同じように繰り返します。
案内では、偽の連絡が使いそうな題材を例に挙げます。クーポンや特典、注文の返金などです。あわせて、自社が送らない連絡の種類を言い切れる範囲で書きます。会員は届いた連絡をその基準で見比べられ、偽の連絡を押す人を減らせます。
ヤグラの視点 — 販促の中心にある会員基盤を見る
Section titled “ヤグラの視点 — 販促の中心にある会員基盤を見る”本件のように1,000万人を超える会員を抱えるアプリは、販促の中心です。本件と焼肉きんぐの事案は、どちらもその会員を管理するシステムで起きました。この場所は社員の端末の外にあり、端末を見張る仕組みには表れにくいところです。
そこで、会員情報を返す部分のログが、誰の監視の対象に入っているかを確かめておく必要があります。販促のためにアプリの機能が増えたら、そのたびにこの範囲を見直します。
一方で、読み出しの件数が増えても、それだけでは異常と決められません。クーポンの配信日やキャンペーンの初日には、正規のアクセスも集中します。販促の予定を監視の判断材料に入れ、外れたときに誰が通信元を止めるかを決めておきます。AIでログを横断して見る仕組みは、その一次判断を支える道具の一つです。（→ ヤグラ AI SOC）
- 不正アクセスが可能になった経緯と原因
- 不正アクセスの可能性に気づいた日と、そのきっかけ
- 恒久対策と、監視体制の強化の内容
- バーガーキングを名乗る不審なメール・SMS・電話の発生有無
判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-10-16 | 第一報を公開 |
