ITmedia エンタープライズによると、ビーケー・ジャパンは2026年10月15日、バーガーキング公式アプリへの不正アクセスを発表し、会員情報約1118万件が外部に漏えいしました。同報道では、同社やサービスを装う不審なメール、SMS、電話への注意を呼び掛けています。当事者の公式発表は、本記事では確認できていません。
何が起きたか
ScanNetSecurityによると、不正アクセスを受けたのは、公式アプリの会員情報を管理するシステムです。ITmedia エンタープライズは、不正アクセスが行われた期間を2026年10月2日から2026年10月7日、同社が漏えいを確認した日を2026年10月13日と伝えています。
ScanNetSecurityが伝えた漏えい項目は、会員ID、メールアドレス、登録種別、氏名の漢字・カナ、電話番号、生年月日、性別、都道府県です。さらに、モバイルオーダー履歴の有無と、メールアドレス認証の有無も含まれます。注文内容そのものの漏えいと、履歴があるかどうかの漏えいは区別して読む必要があります。
ITmedia エンタープライズによると、同社はクレジットカード番号を保持していないと説明しています。また、ログインパスワードの漏えいと、不正利用などの二次被害は、現時点で確認されていないとしています。「確認されていない」ことを、今後も被害が起きないという意味で受け取らないことが大切です。
影響する人・会社、しない人・会社
- 影響する: 漏えい対象となったバーガーキング公式アプリの会員です。ScanNetSecurityによると、同社は対象の顧客にメールで案内しています。約1118万件という情報件数を、そのまま被害人数として扱わないようにします。
- 影響する: 自社でもアプリなどで顧客の氏名、連絡先、生年月日を管理する会社には、点検の参考となる事案です。ただし、こうした会社が今回の不正アクセスを受けたという意味ではありません。
- 影響しない: 今回の報道だけで、影響がない利用者の範囲を断定することはできません。カード番号を保持していないという説明と、会員情報が漏えいしたという報道は分けて捉える必要があります。パスワード漏えいが未確認であることも、会員情報全体が無事だったことを示すものではありません。
相手の対応
ScanNetSecurityによると、同社は不正アクセスを把握した後、該当する通信元からのアクセスを遮断しました。侵入の経緯と詳細な原因は、外部専門機関と連携して調査中とされています。アクセスを遮断したことと、原因の特定が完了したことは別です。
ITmedia エンタープライズによると、同社は個人情報保護委員会に報告しました。再発防止に向け、システムのセキュリティ対策と監視体制を強化する方針です。
対象者への案内がメールで行われる一方、同社を装う連絡への注意も呼び掛けられています。社内でこの件を案内する場合は、正規の通知と不審な連絡を区別して確認する手順も添えるとよいでしょう。
会社・情シスが今日やること
以下は報道された対応期限ではなく、利用者への案内と自社点検のための提案です。報道には自社システム向けの具体的な管理画面名はないため、画面名や操作手順は各社の環境に合わせて確認してください。
- 本日中に、社内窓口向けの案内を作る。 ヘルプデスクや総務に、漏えいしたと報じられた項目と、パスワード漏えい・二次被害は未確認という点を共有します。社員全員が対象であるかのような周知は避け、アプリ利用者向けの注意として伝えます。
- 不審な連絡の確認先を周知する。 会員向けの案内を受け取った社員には、メールやSMSに書かれたリンクや電話番号だけを頼りに手続きを進めず、自分で開いた公式の窓口で内容を確認するよう案内します。社用端末に不審な連絡が届いた場合の報告先も明記します。不審なメールの判定と報告の型も参考になります。
- 顧客情報の保存項目を本日確認する。 自社の会員管理システムの管理画面やデータ項目一覧で、氏名、連絡先、生年月日などをどこに保存しているか確認します。利用目的と保存の必要性を事業部門に照会し、見直しが必要な項目を一覧にします。
- アクセス記録と遮断の担当を確認する。 自社の会員管理システムや監視サービスで、アクセス記録をどこから確認できるか、誰が調査し、誰が遮断を判断するかを整理します。本日中に未確認事項と担当者を記録し、調査が必要な項目には社内の確認期限を付けます。
