カード番号は含まれず、パスワードの漏えいも確認されていません。それでも、バーガーキング公式アプリの会員情報約1,118万件の漏えいを軽く見られないのは、氏名と電話番号、生年月日が一緒に出ていったからです。いま気をつけるべきは、お金の情報よりも、本人を名指しで装う連絡のほうかもしれません。
バーガーキングを運営するビーケー・ジャパンは2026年10月15日、公式アプリの会員情報を管理するシステムが第三者による不正アクセスを受け、会員情報約1,118万件が外部に漏えいしたと発表した。不正アクセスは10月2日から7日にかけて行われ、漏えいは13日に判明した。漏えいしたのは会員ID、メールアドレス、氏名、電話番号、生年月日、性別、都道府県などである。
クレジットカード番号は同社が保持しておらず、ログインパスワードの漏えいは確認されていない。同社は通信元を遮断し、対策本部の設置と個人情報保護委員会への報告を済ませた。原因は外部専門機関と調査している。
From: 
不正アクセスによる公式アプリ会員情報漏えいに関するお詫びとお知らせ（株式会社ビーケー・ジャパン）
【編集部解説】
今回の発表で、まず押さえておきたいのは書き方です。ビーケー・ジャパンは「会員情報が外部に漏えいしたことを確認」と、確定の言葉で書いています。約1,118万件という件数も、「漏えいした会員情報」の対象として示されています。
利用者が受け取るべき事実は、むしろ分かりやすいものです。カード番号は同社が持っておらず、ログインパスワードの漏えいも確認されていません。いま気をつけるべきなのは、漏れた情報を材料にした連絡のほうです。
漏えいした項目には、氏名、電話番号、生年月日、メールアドレスがそろっています。この組み合わせがあると、「バーガーキングです。会員情報の確認が必要です」といった、本人の名前と電話番号を正しく書いたSMSやメールを作れてしまいます。同社が、同社を装ったメール・SMS・電話への注意を呼びかけ、URLを開いたりパスワードを入力したりしないよう求めているのは、この二次被害を見越したものです。
対象の会員には、同社がメールで順次案内するとしています。案内を受け取ったら、メール内のリンクではなく、いつも使っている公式アプリや、あらかじめ登録した公式サイトのブックマークからお知らせを確かめるのが安全です。
外食チェーンのアプリが狙われる例は、この秋に入って続いています。innovaTopiaで10月2〜5日の公表を整理した記事では、焼肉きんぐの公式アプリで10,788,963件の漏えいを取り上げました。業種は違いますが、ローソンIDでは2,155,345件の漏えいが確認されています。セイコーマートのアプリでは、10月5日の第四報で、個人情報閲覧の対象が574,647人分とされています。
アプリの会員基盤には、多くの個人情報が集まっています。今回のバーガーキングや焼肉きんぐでも、会員情報を管理するシステムから大量の情報が漏えいしました。また、一般公開されているアプリは外部の人も入手でき、サーバとの通信の仕組みを調べられます。JPCERT/CCは10月8日に公開した注意喚起で、一般公開しているスマートフォンアプリを解析し、APIのエンドポイントやキーを特定する手口を紹介しています（innovaTopiaの記事）。ただし、アプリを解析できることと、他人の会員情報にアクセスできることは別の問題です。
10月15日の発表時点では、今回の侵入経路について、同社は外部専門機関と連携して調べている段階です。JPCERT/CCの挙げた手口と同じかどうかは、まだ分かりません。
不正アクセスの期間の最終日である10月7日から、漏えいが判明した13日までは、日付の差で6日あります。同社は調査によって漏えいを確認したとしていますが、不正アクセスの可能性を最初に把握した日や、判明までの詳しい経過は、10月15日の発表では、まだ明らかにされていません。判明の2日後にあたる15日に、件数と項目を示して公表しました。
同社は再発防止策として、セキュリティ対策と監視体制の強化を挙げています。モバイルオーダーやクーポン配信にアプリが使われる今、アプリの会員基盤は、店舗のレジと同じくらい守るべき「店の入口」になっています。調査の結果がどこまで公表されるのかは、同様にアプリで会員情報を管理する外食チェーン各社にとっても、自社の守りを見直す手がかりになるはずです。
【関連記事】
【解説】焼肉きんぐ・大和証券など不正アクセス11件、10月2〜5日の個人情報漏えいを整理
ローソンIDに不正アクセス、215万件の個人情報が漏えい アプリ予約ではカード番号の一部も
【解説】セイコーマートアプリに不正アクセス、約57万アカウントの会員情報に漏えいの可能性
JPCERT/CC、国内で相次ぐ不正アクセスに注意喚起 4ケースのうち製品名はMetabaseのみ
ソースネクストに不正アクセス、会員情報取得APIの悪用で2,252万件が流出の可能性
【編集部後記】
漏えいした項目の最後に、「メールアドレス認証の有無」という一行があります。登録したアドレスが本人のものとして確認済みかどうかを示す、地味な管理情報です。
ただ、なりすましのメールを送る側から見ると、この一行は意味を持ちえます。確認済みのアドレスは、いまも実際に使われている可能性が高いと読めるからです。漏えいの重さは、氏名や電話番号のような目立つ項目だけでは測れないのかもしれません。
【用語解説】
API（エーピーアイ）
ソフトウェア同士が機能やデータをやりとりするための窓口や取り決め。スマートフォンアプリは、APIを通じてサーバから会員情報などを受け取る。
エンドポイント
APIで、個々の機能を呼び出すために用意された接続先。アプリを解析すると、どのエンドポイントに接続しているかを調べられる場合がある。
モバイルオーダー
スマートフォンのアプリなどから事前に注文と支払いを済ませ、店舗で商品を受け取る仕組み。外食チェーンのアプリの主要な機能のひとつ。
【参考リンク】
ビーケー・ジャパン「不正アクセスによる公式アプリ会員情報漏えいに関するお詫びとお知らせ」（外部）
10月15日付の公式発表。不正アクセスの期間、漏えいした約1,118万件の項目、実施済みの対応と利用者へのお願いをまとめている。
JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（外部）
国内で続く不正アクセスの手口を4つのケースに整理した注意喚起。スマートフォンアプリを解析してAPIの接続先やキーを狙う手口を含む。
セイコーマート「『セイコーマートアプリ』への不正アクセスによる個人情報の閲覧に関するお詫びとお知らせ（第四報）」（外部）
10月5日付の第四報。セイコーマートアプリへの不正アクセスで、個人情報閲覧の対象を574,647人分とし、通知の方法を示した公式発表。
【参考記事】
バーガーキング、1118万件のアプリ会員情報流出 不正アクセス受け（日本経済新聞）（外部）
公式アプリの会員情報約1,118万件の流出を伝える記事。漏れた項目の内訳と、クレジットカード番号が含まれない点を報じている。
バーガーキング、公式アプリの会員情報約1118万件が不正アクセスにより漏えい（INTERNET Watch）（外部）
同社の発表をもとに、不正アクセスの期間、漏えいした項目、同社を装った不審なメールやSMS、電話への注意喚起を整理した記事。
バーガーキングが謝罪 公式アプリ会員情報「約1,118万件」漏えい…第三者による不正アクセス【漏えい情報など事案概要】（オリコンニュース）（外部）
同社の謝罪と事案の概要を、漏えいした項目の一覧や二次被害の有無、問い合わせ先とともに伝える記事。見出しで件数を強調している。
