物語コーポレーション「焼肉きんぐ」公式アプリ会員管理システムへの不正アクセス（登録者のほぼ全件、10,788,963件の会員情報漏えい）
公表日
焼肉チェーン「焼肉きんぐ」の公式アプリの会員管理システムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、会員情報 約1,079万件が漏えいしました。アプリ登録者のほぼ全員にあたります。
対象者は？
焼肉きんぐ公式アプリに登録した方です。登録数 約1,081万件のうち、約1,079万件（10,788,963件）の漏えいが確認されています。漏えいしたのは会員番号・氏名（アプリの登録名）・メールアドレス・電話番号です。ログインパスワード、生年月日、性別、郵便番号、ポイントを含む店舗の利用履歴は漏えいしていないとされています。会社はクレジットカードなどの決済情報を持っていません。
会社は公式アプリ専用のコールセンター（0120-795-775、10時〜18時、土日祝も受付）を設けています。詳しくは公式のお知らせで確認できます。
いますぐできること
- 焼肉きんぐを名乗る「お詫びクーポン」や「再ログイン」を案内するメール・SMSのリンクは開かず、公式アプリから直接確認する
- 登録した電話番号に、焼肉きんぐや関係者を名乗る不審な電話やSMSが来ても、個人情報や支払いの求めに応じない
何が起きたのか
2026年10月2日、焼肉きんぐ公式アプリの会員管理システムに、第三者からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があることが分かりました。会社は通信を遮断するなどの防御措置をとり、翌3日に会員情報が外に流出したことを確認しました。10月5日に公表し、個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。と警察への被害届の提出を進めていると説明しています。
なぜ起きたのか・なぜ広がったのか
どこから、どのように侵入されたかは、まだ公表されていません。登録者のほぼ全員分が取られたことから、会員の情報をまとめて読み出せる場所まで攻撃者が届いていたと考えられますが、その仕組みは説明されていません。
いまの状況2026-10-05 時点続報待ち
アプリは防御措置をとったうえで、止めずに提供が続いています。同じ会社が運営する他のブランドのアプリにも、同じ防御措置がとられました（漏えいは確認されていません）。公表の時点で、流出した情報が広く公開されたり不正に使われたりした事実は確認されていません。侵入の経路や原因の調査結果、業績への影響は、まだ発表されていません。
企業として考えたいこと
自社のアプリや会員サービスで、全会員の連絡先をまとめて取り出せる機能や権限は、誰が・どこから使えるようになっているでしょうか。
技術的な要約
焼肉チェーン「焼肉きんぐ」を運営する物語コーポレーションは、公式アプリの会員管理システムが第三者から不正アクセスを受け、会員情報10,788,963件が漏えいしたと2026年10月5日に公表した。10月2日に不正アクセスを確認して通信遮断・防御措置を行い、10月3日に会員情報の流出を確認した。漏えいしたのは会員番号・氏名（アプリ登録名）・メールアドレス・電話番号で、アプリ登録数10,808,784件のほぼ全件（約99.8%）に当たる。ログインパスワード・生年月日・性別・郵便番号・保有ポイントを含む店舗利用履歴は漏えいしておらず、決済情報は保有していないとしている。侵入経路・原因は調査中で、アプリは防御措置を講じたうえで提供を継続し、個人情報保護委員会への報告と警察への被害届提出を進めている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公式表現は『「焼肉きんぐ」公式アプリ 会員管理システムへの第三者からの不正アクセス』で、侵入経路・原因は調査中（各報道が公式発表に基づき報じた内容）。脆弱性悪用・認証情報の窃取/流用・管理画面やAPIの認可不備・委託先経由のいずれかは非公表。同社は『開発会社や関係会社』の協力のもとでセキュリティ対策と監視体制を強化するとしており、アプリの開発・運用に外部の開発会社が関与していることはうかがえるが、社名・委託範囲・侵害された環境が委託先側かは公表・報道とも確認できなかった。登録者のほぼ全件が漏えいしたことから、会員DBまたはそれを返すAPI・管理機能から一括取得された可能性を指摘する解説（一創）もあるが推測にとどまる。
- 脆弱性
- CVE 非公表不明焼肉きんぐ公式アプリ 会員管理システム（構成・製品名は非公表）脆弱性の有無・種類、悪用された製品・ライブラリ・CVEはいずれも非公表（2026-10-10時点、侵入経路は調査中）。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 公式アプリは防御措置を講じたうえで提供を継続しており、アプリや店舗営業の停止は公表されていない。同社が運営する他ブランドの公式アプリにも同様の防御措置を実施（漏えいは未確認）。翌営業日10/6に株価が大幅反落（報道）。業績への影響額は精査中。
- データ
- 確定上限 10,788,963確定 10,788,963件会員ID氏名メール電話漏えい確定10,788,963件（会員番号、氏名＝アプリ登録名、メールアドレス、電話番号）。アプリのユーザー登録数は10,808,784件で、ほぼ全件（約99.8%、差19,821件。割合は報道・解説記事の計算）。漏えいしていない項目：ログインパスワード、生年月日、性別、郵便番号、保有ポイントを含む店舗利用履歴。クレジットカード等の決済情報は同社が保有していない。公表時点で、流出情報の不特定多数への公開や不正利用の事実は確認されていない。件数単位は公表どおり『件』で、人数との対応（重複・退会者の扱い）は非公表。
- 波及先
- —
- 金銭影響
- 業績への影響額は精査中で、新たな事実が判明すれば速やかに公表するとしている（報道）。公表翌日10/6に株価が大幅反落（報道、下落率不明）
- サプライチェーン
- 他組織への波及や委託先経由の侵害は公表されていない。対策強化に『開発会社や関係会社』の協力を得るとしており外部開発会社の関与はうかがえるが、社名・侵害箇所との関係は不明（2026-10-10時点）。
時系列
技術解説
公表された事実：登録者のほぼ全件、ただし項目は4つに限定 事実
漏えいは10,788,963件で、アプリ登録数10,808,784件の約99.8%にあたる。不正アクセスの確認（10/2）から流出確認（10/3）まで1日、公表（10/5）まで3日と短い。漏えい項目は会員番号・氏名（アプリ登録名）・メールアドレス・電話番号の4つで、ログインパスワード、生年月日、性別、郵便番号、保有ポイントを含む店舗利用履歴は漏えいしていないとされる。決済情報は同社システムでは保持していない。一方、侵入経路・原因・侵入開始時期・滞在期間・持ち出し方法は調査中として公表されておらず、10/10時点で続報は確認できなかった。アプリは停止せず、防御措置を講じたうえで提供を続けている。
「ほぼ全件」が示唆すること（推測） 解釈
登録者のほぼ全員分が取得されたことは、攻撃者が個々の会員を狙ったのではなく、会員テーブルをまとめて読み出せる位置（DBそのもの、全件を返せるAPI・エクスポート機能、管理画面、またはそれらの認証情報）に到達したことを示唆する。一方でパスワードや生年月日・利用履歴が含まれていない点は、①会員番号・氏名・連絡先だけを持つテーブル/サービス（例：CRM・配信用の連絡先データ）が侵害された、②取得列を絞ったクエリやAPIが使われた、③パスワード等は別の認証基盤に分離されていた、などの可能性がある。差の19,821件が退会者・テスト用・取得タイミング後の新規登録などのどれに当たるかも不明。いずれも推測で、公表情報からは区別できない。
被害の質：連絡先そのものが攻撃材料になる 解釈
パスワードや決済情報が含まれないため、アカウント乗っ取りやカード不正利用の直接リスクは相対的に低い。しかし氏名・メール・電話番号が『焼肉きんぐ会員である』という文脈と紐づいて約1,079万件まとまって出たことは、ブランドを騙ったフィッシング（お詫びクーポン、再ログイン誘導）やSMS・電話による詐欺の精度を上げる。同社もなりすましメール・フィッシングへの注意を呼びかけている。電話番号は変更コストが高く、メールアドレスのように使い捨てにしにくい。外食アプリはクーポン目当てでの登録が多く、家族・業務用アドレスの登録も含めて母数が大きいため、上場企業の株価にも即日影響が出た。
対応
- 封じ込め
- 10/2の確認後に通信遮断と防御措置を実施。アプリは防御措置のうえ提供継続、他ブランドの公式アプリにも同様の措置。開発会社・関係会社の協力のもとセキュリティ対策と監視体制を強化。原因・経緯は調査継続中。
- 公表の仕方
- 10/5に公式サイトで『「焼肉きんぐ」公式アプリ 会員管理システムへの第三者からの不正アクセスによる個人情報漏えいに関するお詫び』を公表（件数・項目・非漏えい項目を明示）。公式アプリ専用コールセンター（0120-795-775）を設置し、なりすましメール・フィッシングへの注意を呼びかけ。10/10時点で続報は確認できず。
- 当局対応
- 個人情報保護委員会：報告を進めていると説明（報道）
- 警察：被害届の提出を進めていると説明（報道）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 会員テーブルのほぼ全件が一度に取得された | アプリ・管理画面・バッチが使うDBロールごとに読み取り可能な列と行数を絞り、API・管理画面のエクスポートにはページング上限・レート制限・件数上限を設ける。1リクエスト/1セッションで閾値（例:1万件）を超える読み出しを即時アラート化 |
| 連絡先情報（氏名・メール・電話）がまとめて置かれていた | 配信・CRM用途の連絡先はトークン化（会員番号↔連絡先の対応表を別ストアに分離）し、アプリAPIからは自分のレコード以外を引けないことを認可テスト（BOLA/IDOR）で自動検証する |
| パスワード・利用履歴は分離されていたため被害項目が限定された | 認証情報（IdP）、会員プロフィール、購買・ポイント履歴を別サービス・別DB・別認証情報に分け、1箇所の侵害で全項目が揃わない構成を維持する |
| アプリ開発・運用を外部開発会社に委ねている場合、侵害箇所と責任分界が見えにくい | 委託契約でログ保持期間・アクセスログ提供・インシデント時の通知SLA・管理者アカウントのMFA必須を定め、委託先が持つ本番DB・管理画面へのアクセス経路を棚卸しする |
自組織などでの確認項目
- 自社アプリの会員DBに、1つの認証情報・1つのAPIで全会員の連絡先を読み出せる経路はいくつあるか（管理画面、CSVエクスポート、分析基盤、委託先の運用端末を含めて）。
- パスワードや決済情報が漏れていない場合でも、氏名・メール・電話番号の大量漏えいで自社ブランドを騙った詐欺が起きたとき、どの時点で何を利用者に伝えるか。
- アプリの開発・運用を外部に委託している場合、不正アクセスの確認から1日以内に『流出件数』を確定できるだけのログと権限が自社側にあるか。
未解明点
- 侵入経路・原因（脆弱性悪用、認証情報の窃取・流用、API/管理画面の認可不備、委託先環境の侵害のいずれか）
- 不正アクセスの開始時期と滞在期間、10/2に何をきっかけに確認したか
- アプリの開発・運用委託先の名称と、侵害箇所が委託先の管理範囲かどうか
- 登録数との差19,821件の内訳、退会者データの扱い、件数と人数の対応
- 流出情報の公開・販売の有無、攻撃者の正体・目的
- 業績への影響額、個人情報保護委員会・警察への対応の結果
出典
- 1物語コーポレーション2026-10-05公式未確認
- 2週刊アスキー2026-10-05報道本文確認済
- 3NHK2026-10-05報道本文確認済
- 4日本食糧新聞（時事通信）2026-10-05報道本文確認済
- 5セキュリティ対策Lab（Rocket Boys）2026-10-05報道本文確認済
- 6ビジネス+IT2026-10-06報道本文確認済
- 7マネーポストWEB2026-10-06報道本文確認済
- 8innovaTopia2026-10-06報道本文確認済
- 9ITトレンド2026-10-06報道本文確認済
- 10一創2026-10-06研究者本文確認済
- 11Qatar Tribune（通信社配信）2026-10-07報道本文確認済