デニーズジャパンのデニーズアプリにおける認証情報不正作成と個人情報漏えいのおそれ（調査中）
公表日
デニーズジャパンは、公式アプリの移行システムが悪用され、旧アプリ利用者の会員情報が外部へ漏えいした可能性があると発表しました。対象人数や実際の情報取得の有無は調査中です。
対象者は？
旧デニーズアプリを利用していた顧客の一部。なお、氏名、住所、電話番号、パスワード、クレジットカード情報は保持していません。
対象者を特定でき次第、デニーズジャパンから個別に連絡が行われる予定です。
いますぐできること
- アプリ起動時に初期画面が表示された場合は、案内画面に従って再度のログインを行ってください。
- 登録メールアドレス宛にデニーズを装った不審な連絡やフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールが届かないか注意してください。
何が起きたのか
デニーズジャパンが提供するデニーズアプリにおいて、旧アプリから新アプリへデータを引き継ぐためのシステム処理が悪用され、第三者によって一部のアカウントにアクセスできる認証情報が不正に作られていました。2026年10月7日のアクセス履歴において個人情報を取得する処理が実行されていましたが、これが利用者本人によるものか不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。者によるものか区別がつかず、実際に情報が盗まれたかどうかを含めて調査が進められています。
なぜ起きたのか・なぜ広がったのか
旧アプリから新アプリへの移行に関わるシステム処理に不備があり、第三者が他人の認証情報を不正に作成できる状態になっていたためです。具体的な手口やシステムの欠陥の詳細はまだ公表されていません。
いまの状況2026-11-04 時点続報待ち
2026年10月30日に不正な認証情報が新しく作られないようシステム改修が実施され、10月31日と11月2日には不正に作られた認証情報が無効化されました。個人情報保護委員会へ報告が行われており、影響人数の特定や原因究明などの追加調査が行われています。
企業として考えたいこと
自社のアプリや会員システムを移行・刷新する際、引き継ぎ処理の抜け穴を悪用して他人のアカウントが乗っ取られるリスクを検証できていますか？
技術的な要約
株式会社デニーズジャパンは2026年11月3日、提供する「デニーズアプリ」において第三者による不正アクセスを受け、旧アプリ利用者の個人情報が漏えいした可能性があると発表した。旧アプリから新アプリへの移行に関わるシステム処理において、第三者により認証情報が不正に作成され、一部利用者のアカウントにアクセス可能な状態になっていた。2026年10月7日付のアクセス記録で個人情報を取得するシステム処理の実行履歴が確認されているが、第三者による操作と本人操作の区別がついておらず、対象人数や実際の情報取得の有無は調査中である。同社は2026年10月30日に不正作成を防ぐシステム改修を行い、不正な認証情報の無効化を実施した。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明旧デニーズアプリから新アプリへの移行に関するシステム処理において、第三者が認証情報を不正に作成したことが判明しているが、具体的な悪用経路や脆弱性の詳細は公表されていない。
- 脆弱性
- CVE 非公表公表で確認デニーズアプリ（旧アプリから新アプリへの移行システム処理）旧アプリから新アプリへ移行するためのシステム処理において認証情報を不正に作成可能な不備が存在したが、具体的な脆弱性情報は非公表。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 中核業務の停止は発生していないが、対策に伴い一部の利用者がアプリ起動時に初期画面が表示され再ログインを求められる影響が生じた。
- データ
- おそれ上限 —確定 —人会員IDメール生年月日性別その他旧デニーズアプリ利用者の一部に関するデニーズアプリ会員コード、メールアドレス、生年月日、性別、住まいの都道府県、お気に入り店舗、キッズバースデーが漏えいした可能性がある。氏名、住所、電話番号、パスワード、クレジットカード情報は保持していないとしている。対象人数は調査中。
- 波及先
- —
- 不正な認証情報の無効化対策により、一部利用者のデニーズアプリ起動時に初期画面が表示され再度のログインが必要になった。
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
移行システム処理における不正アクセスと判明の経緯 事実
株式会社デニーズジャパンの公表によると、2026年10月30日に不審なアクセスを調査する過程で、旧デニーズアプリから新アプリへの移行に関わるシステム処理において、第三者により認証情報が不正に作成されていたことが判明した。同社は判明した10月30日当日に不正な認証情報の新規作成を防止するシステム改修を実施し、10月31日および11月2日には確認された不正な認証情報の無効化措置を実施した。ログ調査では2026年10月7日付で個人情報を取得するシステム処理が実行された履歴が確認されているが、その操作が第三者によるものか利用者本人によるものかの区別がついておらず、情報取得の有無や対象人数、影響範囲は調査中とされている。また、2026年10月31日に個人情報保護委員会への速報報告が行われ、11月3日に事案の第一報が公表された。
移行処理を狙った認証バイパスと監査ログ記録の課題 解釈
新旧システムの移行期には、利用者の引き継ぎ負荷を軽減するために簡易的な移行エンドポイントや一時的な認証情報連携が実装されることがある。本件で「システム処理において第三者が認証情報を不正に作成した」とされている点から、移行APIやアカウント引き継ぎ処理におけるパラメータ検証や認可チェックに不備があり、第三者が任意のアカウントに対応するセッションやトークンを不正生成できた可能性が考えられる。また、ログ上で「本人操作と第三者操作の区別がついていない」状態が生じていることは、API利用時の認証コンテキスト（アクセス元IPアドレス、ユーザーエージェント、過去の利用端末識別子など）とアカウント操作ログの紐付けが不十分であったことを示唆している。正当なトークンが一度生成されてしまうと、その後のデータ参照処理が正規アクセスと外形上見分けがつかなくなる構造的課題が窺える。
影響対象データの範囲と保持情報の管理状況 事実
デニーズジャパンの公表によれば、漏えいした可能性がある対象は旧デニーズアプリを利用していた顧客の一部である。漏えい対象の可能性があるデータ項目としては、デニーズアプリ会員コード、メールアドレス、生年月日、性別、住まいの都道府県、お気に入り店舗、キッズバースデーが挙げられている。一方で、同社は氏名、住所、電話番号、パスワード、クレジットカード情報についてはシステム上で保持していないと説明している。また、不正な認証情報を無効化した技術的措置の影響により、正規の利用者がアプリを起動した際に初期画面が表示され、再度ログインを求められる事象が発生した。同社はシステム開発会社等と連携して原因究明を進めており、情報漏えいの可能性がある顧客を特定でき次第、個別に連絡を行うとしている。
対応
- 封じ込め
- 2026年10月30日に不正な認証情報の新規作成を防止するシステム改修を実施し、10月31日および11月2日に確認された不正な認証情報の無効化措置を実施した。
- 公表の仕方
- 2026年11月3日に公式サイトで「デニーズアプリへの不正アクセスに関するお詫びとお知らせ（第一報）」を公表。個人情報漏えいの可能性がある顧客には、対象者を特定でき次第個別に連絡するとしている。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| アカウント移行や引き継ぎ処理における認証・認可の検証不備 | 旧システムから新システムへの移行用APIにおいて、第三者が他者アカウントの認証情報やセッションを生成・取得できないよう、旧環境の有効な既存認証情報や二要素認証による厳格な本人性確認を必須とし、認可チェックをサーバー側で検証する。 |
| 正規トークン悪用時における本人操作と不正操作の判別困難 | APIリクエストログに端末識別子、送信元IPアドレス、リクエストヘッダ、発行元セッション情報を紐付けて記録し、通常と異なる環境や不審なIPレンジからの急激なデータ取得操作をリアルタイムに検知・分離できる監査基盤を整備する。 |
| 不正なセッションやトークンの即時特定と失効メカニズムの欠如 | 不審な認証情報作成が判明した際に影響範囲のトークン群を一括して即座に無効化できるよう、セッション管理システムにバージョン管理や失効リスト（ブロックリスト）の即時反映機能を実装する。 |
| 必要最小限の個人情報保持による漏えい被害の極小化 | サービス提供に不可欠でない高機微情報（氏名、クレジットカード情報、住所など）は保持せず、データ保持設計を最小限にとどめるデータ最小化の原則を継続して維持・徹底する。 |
自組織などでの確認項目
- 自社のサービスやアプリのリニューアル・データ移行処理において、本人確認を回避して他者のアカウントやトークンを生成できるロジック上の不備が存在しないか検証されているか。
- APIアクセスログにおいて、正規の認証情報を用いた操作であっても不審な環境（海外IP、プロキシ、短期間の大量アクセスなど）からのリクエストを本人操作と識別して検知・追跡できる状態になっているか。
- 万一認証トークンの不正生成や漏えいが疑われた場合、対象アカウントのセッションを即時無効化し、利用者に安全に再ログインを促す運用手順が確立されているか。
未解明点
- 第三者が認証情報を不正に作成した具体的な脆弱性や悪用経路の詳細、および移行APIにどのような不備が存在したのか。
- 2026年10月7日以外の調査期間において不正なデータ取得操作が行われていたのか、また情報が漏えいした可能性のある最終的な対象人数と確定件数。
出典
- 1株式会社アクト2026-11-04研究者本文確認済
- 2NHKニュース2026-11-04T13:24+09:00報道本文確認済
- 3株式会社デニーズジャパン公式本文確認済
- 4株式会社デニーズジャパン2026-11-03公式本文確認済
- 5株式会社デニーズジャパン2026-11-03公式本文確認済
- 6デニーズ2026-11-03公式本文確認済