バーガーキング公式アプリ会員情報管理システムへの不正アクセス（会員情報約1,118万件漏えい）
公表日
バーガーキングを運営するビーケー・ジャパンは2026年10月15日、公式アプリの会員情報が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。で外部に漏えいしたと発表した。報道によると、対象は約1,118万件である。
対象者は？
バーガーキング公式アプリの会員が対象。漏えいした項目は、会員ID、メールアドレス、登録種別、都道府県、性別、生年月日、氏名（漢字・カナ）、電話番号、モバイルオーダー履歴の有無、メールアドレス認証の有無。クレジットカード番号は同社で保持しておらず漏えいしていない。ログインパスワードの漏えいは現時点で確認されていない。「モバイルオーダー履歴の有無」は履歴があるかどうかの情報で、注文した商品・店舗・日時などの詳細は含まれないとされる。
同社は対象のお客様へメールで案内を順次進めている。問い合わせは、ビーケー・ジャパン カスタマーサービス（0120-945-630、平日10:00～17:00、土日祝日を除く）で受け付けている。
いますぐできること
- バーガーキングや同社のサービスを装ったメール、SMS、電話に注意し、不審なものは相手にしない。
- 対象の会員は、同社からのお知らせメールを確認する。不明な点は、上記のカスタマーサービスに問い合わせる。
何が起きたのか
バーガーキングの公式アプリの会員情報を管理するシステムに、第三者が不正にアクセスした。不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。は2026年10月2日から7日にかけて行われ、10月13日に会員情報が漏えいしたことが分かった。同社は、不正アクセスの事実を把握した後、すぐにその通信元からのアクセスを遮断した。対策本部を設置し、暫定的な対策をとり、個人情報保護委員会へ報告した。10月15日にお詫びとお知らせを公表した。
なぜ起きたのか・なぜ広がったのか
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が可能になった原因は、外部の専門機関と調査中で、まだ発表されていません。報道も、特定の手口が原因だったと断定できる情報はないと伝えている。
いまの状況2026-10-15 時点続報待ち
2026年10月15日の時点で、公表されている範囲では、情報の不正利用などの二次被害は確認されていない。原因の調査は続いていて、結果はまだ発表されていません。同社は恒久対策、システムのセキュリティ対策と監視体制の強化を進め、外部専門機関の助言を得て再発防止に取り組むとしている。
企業として考えたいこと
もし自社の会員データベースに知らない相手から何日も出入りされたとしたら、どの時点で気づき、通信を止め、利用者へ何を伝えられるだろうか。
技術的な要約
ビーケー・ジャパンは2026年10月15日、バーガーキング公式アプリの会員情報を管理するシステムが第三者から不正アクセスを受け、会員情報約1,118万件が外部に漏えいしたと発表した。不正アクセスは10月2日から7日にかけて行われ、13日に漏えいが判明した。漏えい項目は会員ID、メールアドレス、氏名、電話番号、生年月日などで、クレジットカード番号は同社で保持しておらず、ログインパスワードの漏えいも現時点で確認されていない。同社は該当する通信元からのアクセスを遮断し、対策本部の設置、暫定対策、個人情報保護委員会への報告を実施した。不正アクセスが可能となった原因は外部専門機関と調査中で、公表時点で二次被害は確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公式発表は「不正アクセスが可能となった経緯および詳細な原因については、外部専門機関と連携し、現在調査を進めております」としている。報道によれば、SQLインジェクション、APIの不備、認証情報の悪用など特定の手口が原因だったと断定できる情報はない。
- 脆弱性
- CVE 非公表不明脆弱性の有無・製品名・CVEは公表されていない。原因は外部専門機関と調査中。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし サービス停止や業務停止に関する記載は公表資料にない。
- データ
- 確定上限 11,180,000確定 11,180,000件会員IDメール氏名電話生年月日性別その他件数「約1,118万件」は報道（出典0）による。公式発表は漏えいを確認したと記載。項目は会員ID、メールアドレス、登録種別、都道府県、性別、生年月日、氏名（漢字・カナ）、電話番号、モバイルオーダー履歴の有無、メールアドレス認証の有無。「モバイルオーダー履歴の有無」は履歴の存在を示す情報で、注文商品・店舗・日時などの詳細な購入履歴の漏えいではない。クレジットカード番号は同社で保持しておらず漏えいなし。ログインパスワードの漏えいは現時点で確認されていない。「その他」は登録種別、都道府県、モバイルオーダー履歴の有無、メールアドレス認証の有無。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先や外部サービス経由であるとの公表はない。
時系列
技術解説
公表されている経過と同社の対応 事実
ビーケー・ジャパンの公式発表によると、不正アクセスは2026年10月2日（金）から10月7日（水）にかけて行われ、会員情報の漏えいは10月13日（火）に判明した。同社は公式アプリの会員情報を管理するシステムに対する第三者による不正アクセスの可能性を確認して調査を行い、不正アクセスの事実を把握した後、直ちに当該通信元からのアクセスを遮断したとしている。公表は10月15日で、判明の2日後にあたる。実施済みの対応は、通信の遮断、暫定対策の実施、対策本部の設置、個人情報保護委員会への報告である。恒久対策、外部専門機関と連携した各種調査、対象の顧客へのメール案内は継続・順次実施中と説明している。
漏えい項目と件数、二次被害の状況 事実
報道は、会員情報約1,118万件が外部に漏えいしたと伝えている。この件数は報道によるもので、取得した公式発表の内容には件数の記載を確認できていない。漏えい項目は、会員ID、メールアドレス、登録種別、都道府県、性別、生年月日、氏名（漢字・カナ）、電話番号、モバイルオーダー履歴の有無、メールアドレス認証の有無である。「モバイルオーダー履歴の有無」は履歴が存在するかどうかを示す情報で、注文商品・店舗・日時などの詳細な購入履歴の漏えいという発表ではない。クレジットカード番号は同社で保持しておらず漏えいしていない。ログインパスワードの漏えいは現時点で確認されていない。公表時点で、不正利用などの二次被害は確認されていない。
原因・侵入口は未公表 事実
公式発表は、不正アクセスが可能となった経緯および詳細な原因について、外部専門機関と連携して調査を進めているとしている。報道も、SQLインジェクション、APIの不備、認証情報の悪用など特定の手口が原因だったと断定できる情報はないと伝えている。このため、侵入口の分類、脆弱性の有無や製品名、CVEの有無は、取得した資料からは判断できない。攻撃者の特定や犯行声明についても、取得した資料には記載がない。同社は恒久対策と、システムのセキュリティ対策および監視体制の強化、外部専門機関の助言を得た再発防止に取り組むと説明している。原因の公表は今後の続報を待つ必要がある。
被害の性質についての見方（解釈） 解釈
漏えいした項目は、氏名、電話番号、メールアドレス、生年月日、都道府県などの本人を特定しやすい属性の組み合わせである。決済情報は保持されておらず、ログインパスワードの漏えいも確認されていないため、直接の金銭被害に結びつく情報は限られているように見える。一方で、これらの連絡先と属性は、同社を装ったメール・SMS・電話による勧誘に使われやすい。同社が注意喚起をしているのもこの点に沿っている。不正アクセスの期間は10月2日から7日の約6日間で、判明まで約6日の間があった。ただし、この間にどのようにデータが取得されたかは未公表で、期間の長短が被害規模にどう影響したかは断定できない。同時期に別の企業のアプリでも約1,000万件規模の漏えいが報じられているが、報道は共通の原因や攻撃者は確認されていないとしており、同一視は避けるべきである。
対応
- 封じ込め
- 不正アクセスの事実を把握後、直ちに該当する通信元からのアクセスを遮断。暫定対策の実施、対策本部の設置を行った。恒久対策、外部専門機関と連携した調査を継続。システムのセキュリティ対策と監視体制を強化し、外部専門機関の助言を得て再発防止に取り組むとしている。
- 公表の仕方
- 2026年10月15日に公式のお詫びとお知らせを公表。漏えい項目、クレジットカード番号は保持していないこと、ログインパスワードの漏えいは現時点で未確認であること、二次被害は未確認であることを説明。対象の顧客へメールで案内し、不審なメール・SMS・電話への注意を呼びかけている。原因は調査中。
- 当局対応
- 個人情報保護委員会（報告済み）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 会員データベースからの大量取得は、不正なログイン以前に「取得量」で気づける可能性がある | 会員情報を返すAPI・管理機能に、アカウント単位・IP単位のレート制限と、1リクエストあたりの返却件数の上限を設ける。一定時間内の取得件数が閾値を超えたら通知するアラートをSIEMなどに実装する。 |
| 不審な通信元を把握したら、すぐに遮断できる手順を用意しておく | WAFやCDNでIP・ASN・User-Agent単位のブロックを即時適用できる運用手順と権限を決め、検知から遮断までの目標時間を定めて訓練する。遮断日時は記録して、後の公表に使えるようにする。 |
| 保持しない情報は漏えいしない。保持するデータは最小限にする | 決済は外部の決済事業者のトークン方式に任せ、カード番号を自社に保存しない。会員属性は用途ごとに必要性を棚卸しし、不要な項目と長期間利用のない会員データは削除・匿名化する。 |
| 原因調査には、侵入期間をさかのぼれるログが必要になる | APIゲートウェイ、アプリ、DBの監査ログを少なくとも1年分、改ざん防止した別の保管先に集約する。調査用に、アクセス元IPとアカウントと取得件数を突き合わせて検索できるようにしておく。 |
| 公表では、確認済みの内容、未確認の内容、調査中の内容を分けて示すと、利用者の判断につながる | お知らせの雛形に「漏えい項目」「含まれない情報」「二次被害の有無」「原因の調査状況」「問い合わせ先」の欄を設け、続報で更新できるようにする。件数は上限と確定を区別して書く。 |
自組織などでの確認項目
- 自組織の会員・顧客データベースに対して、1つのアカウントやIPが短期間に大量のレコードを取得した場合、誰がどのくらいの時間で気づける仕組みになっているか。
- 不審な通信元を特定したとき、WAFやCDNで遮断する権限を持つのは誰か。夜間・休日でも、遮断まで何分で実施できるか。
- 会員情報として保持している項目のうち、利用目的がはっきりしないものはないか。決済情報やパスワードは、漏えいした場合にどの形式で保存されているか。
- 侵入があったと疑われる日から過去1年分までさかのぼって、APIとDBのアクセスログを検索できるか。
未解明点
- 不正アクセスが可能となった原因、侵入口、脆弱性の有無（外部専門機関の調査結果）はどうだったか。
- 漏えい件数について、同社が公表する公式の件数と、対象者の内訳（上限と確定の区別を含む）はどうなっているか。
- 10月2日から7日の不正アクセスは、どの時点で検知され、通信元の遮断は具体的にいつ行われたのか。
- 攻撃者の特定や犯行声明の有無、およびログインパスワードの漏えいがないとの調査の最終結果はどうなるか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-15報道本文確認済
- 2株式会社ビーケー・ジャパン2026-10-15公式本文確認済
- 3読売新聞2026-10-15報道本文確認済