この記事のポイント
- いつ：2026年10月2日〜7日に不正アクセスを受け、13日に判明、15日に公表
- 何が：公式アプリの会員情報を管理するシステムから、約1,118万件が漏えい
- 件数の読み方：「件」は記録の数で、実人数は公表されていない
- 漏れた項目：氏名・生年月日・電話番号・メールアドレスを含む計10項目
- カードとパスワード：カード番号は同社が保持しておらず漏えいなし。パスワードは「漏えいは確認されていない」段階で、調査は続いている
- 読者がすること：同社を装うメール・SMS・電話に注意し、URLへのアクセス・添付ファイルの開封・情報の入力を控える。他サービスでのパスワード使い回しも見直す
10月2日から7日に侵入され、13日に判明、15日に公表
バーガーキングを運営する株式会社ビーケー・ジャパンは2026年10月15日、公式アプリの会員情報を管理するシステムが第三者の不正アクセスを受け、会員情報が外部に漏えいしたと発表しました。詳細は同社の公式お知らせ（PDF）で確認できます。
日程を並べると次のとおりです。
| 日付 | 出来事 |
|---|---|
| 10月2日〜7日 | 不正アクセスがあった期間 |
| 10月13日（火） | 同社が事態を把握（判明日） |
| 10月15日 | 同社が公表 |
不正アクセスの最終日から判明まで6日、判明から公表まで2日です。
漏えいしたのは10項目。本人を特定する情報と、アプリの利用状態が混在する
公表された漏えい項目は次の10項目です。性質で2つに分けて示します。
本人を特定できる項目（5項目）
- 氏名（漢字・カナ）
- 生年月日
- 電話番号
- メールアドレス
- 会員ID
属性・アプリの利用状態に関する項目（5項目）
- 登録種別
- 都道府県
- 性別
- モバイルオーダー履歴の有無
- メールアドレス認証の有無
実名、生年月日、連絡先（メールと電話）が、同一の会員情報として含まれている点が、この漏えいの特徴です。加えて、都道府県・性別・登録種別・モバイルオーダー履歴の有無といった、アプリの利用者であること自体を示す情報も含まれます。
たとえば「モバイルオーダーをご利用の方へ」のように、実際の利用状況に沿った文面で氏名入りの連絡が届けば、本物らしく見えてしまう点が懸念されます。
「モバイルオーダー履歴の有無」が意味すること、意味しないこと
モバイルオーダー履歴とメールアドレス認証の2項目は、いずれも「有無」を示す情報です。公表されたのは、モバイルオーダーの履歴があるかどうか、メールアドレスの認証が済んでいるかどうかであり、何を注文したかといった注文内容や履歴の中身が漏れたとは書かれていません。
意味するのは、「この会員はモバイルオーダーを使ったことがある」という事実が外部に渡った可能性です。意味しないのは、注文品目・日時・店舗・金額まで漏れたということです。公表内容に含まれていない情報を、漏れたものとして受け取る必要はありません。
約1,118万件は記録の数。何人分かは公表されていない
「約1,118万件」の「件」は、漏えいした記録（レコード）の数を指します。同社は何人分にあたるかを公表していません。1人が複数の記録を持つ場合もあり得るため、「約1,118万人が被害に遭った」とは読めません。
件数と人数のずれは、他社の事案でも起きています。たとえばブックオフの会員番号の件数では、「最大約643万件」が会員番号の数で、人数は精査中でした。数字の単位を確かめてから受け止めるのが安全です。
カードは「保持していない」、パスワードは「確認されていない」——同じ「出ていない」でも根拠が違う
同社の発表では、クレジットカード番号とログインパスワードについて、どちらも「漏えいしていない」方向の説明がされています。ただし、その根拠の強さは同じではありません。
カード番号については、同社は「当社で保持しておらず、漏えいしておりません」と説明しています。そもそもこのシステムに情報自体がないので、ここから漏れる余地がありません。
一方のパスワードは、「漏えいは現在確認されておりません」という表現です。これは「今のところ確認できていない」ということで、「漏れていないと確定した」という意味ではありません。同社は不正アクセス元の通信遮断と個人情報保護委員会への報告を行い、外部専門機関と連携した原因調査を進めている途中です。
公表文には、パスワードをどう保存していたかの説明がありません。そのため、パスワードを安全確定と受け取らず、調査結果を待つ姿勢が現実的です。なお、同社は二次被害についても「現時点において、本件に起因する不正利用などの二次被害は確認されておりません」としています。
届いたメール・SMS・電話は、公式アプリと正規の経路から確かめる
同社は、同社や同社サービスを装った不審なメール・SMS・電話への注意を呼びかけています。URLへのアクセス、添付ファイルの開封、会員情報やパスワードの入力は控えるよう求めています。
実際の確認手順としては、次の流れが有効です。
- 届いた連絡内のリンクや電話番号は使わない。
- 公式アプリを自分で開くか、公式サイトをブックマークや検索から開いて、同じ内容のお知らせがあるかを見る。
- 不審な点が残るときは、公式お知らせに問い合わせ窓口の記載があるかをまず見て、あればその窓口を使う。本記事では、窓口の有無を確認できていない。
送信元の表示だけで本物かどうかを判断するのは難しい場合があります。当サイトで取り上げたアルカディアの事案では、防災メールと同じドメインからカード会社を名乗るメールが届いていました。差出人欄が正規に見えても、本文のリンクを開かないことが基本です。
パスワードは漏えいが確認されていない段階で、変更の推奨も本記事では確認できていません。そこで、同社の案内ではなく一般的な自衛策として、バーガーキングのアプリと同じパスワードを他のサービスで使っていないかを、今日見直してください。
続報が出たら、連絡先・対象者への案内・原因と人数の説明を順に見る
続報を見る際は、次の点を確認の軸にしてください。いずれも、執筆時点の確認範囲では見当たらない点です。対象者の範囲も本記事では確認できていないため、自分の会員情報が含まれうる前提で見るのが安全です。
- 問い合わせ窓口の電話番号・受付時間：公表されれば、確認の経路が確定する
- 対象者への個別通知の有無と範囲：自分が対象かどうかを待つのか、自分で備えるのかが決まる
- 公式アプリの停止・利用再開の状況：アプリをいつ使ってよいかの判断材料になる
- 侵入経路・原因：どこが狙われたかが分かり、読者側の備えが絞れる
- 約1,118万件が何人分にあたるか：被害の規模を実人数で受け止められる
- パスワードの保存方法の説明：パスワード変更が必要かを判断できる
更新があったかは、同社の公式お知らせに加えて、INTERNET WatchやScanNetSecurityなどの報道でも見る手がかりになります。
まとめ
バーガーキングのアプリ会員情報の漏えいについて、現時点で分かっていることを整理します。
- 不正アクセスは10月2日〜7日、判明は13日、公表は15日です。
- 約1,118万件は記録の数で、何人分かは公表されていません。
- 漏えい項目は10項目で、氏名・生年月日・電話番号・メールアドレスが含まれます。モバイルオーダーの履歴は「有無」のみです。
- カード番号は同社が保持しておらず漏えいなし。パスワードは「確認されていない」段階で、調査が続いています。
読者がすることは、同社を装う連絡のリンクを開かず、公式アプリや公式サイトから確かめること、そして他サービスでのパスワードの使い回しを見直すことです。窓口や個別通知などの続報は、公式の発表を基準に確認してください。
編集後記
生年月日まで会員情報として預けていたことを、私は今回あらためて思い出しました。アプリの便利さに慣れて、何を登録したのかさえ忘れていた自分に、少しツッコミを入れたい気分です。ほかに何を預けていたのか、手を止めて数えてみたくなりました。
— CODE. 編集部
