バーガーキング、会員情報約1118万件が漏えい 顧客データを預かる企業が点検すべき3項目：セキュリティニュースアラート

バーガーキングを展開するビーケー・ジャパンは、公式アプリの会員情報約1118万件が不正アクセスで漏えいしたと発表した。ログインパスワードの漏えいは確認されていないが、同社は自社を装った不審な連絡への注意を呼び掛けている。顧客の会員情報を預かる企業は、何を点検すべきか。

[ITmedia]

　ハンバーガーチェーン「バーガーキング」を国内で展開するビーケー・ジャパンは2026年10月15日、公式アプリの会員情報約1118万件が不正アクセスによって外部に漏えいしたと発表した。不正アクセスは10月2〜7日に行われ、同社は10月13日に漏えいを確認した。侵入の経緯や原因は、外部の専門機関と連携して調べている。同社は不正アクセス元からの通信を遮断し、個人情報保護委員会に報告した。

　漏えいしたのは会員IDやメールアドレス、氏名、電話番号、生年月日などだ。クレジットカード番号は同社が保持しておらず、ログインパスワードの漏えいも現時点では確認されていない。

　不正利用などの二次被害も現時点では確認されていない。ただ同社は、自社や自社のサービスを装った不審なメールやSMS、電話に注意するよう利用者に呼び掛けている。

侵入を防ぐだけでは足りない　会員情報を預かる企業の点検項目

　ビーケー・ジャパンへの不正アクセスの経緯は明らかになっていない。ただし、顧客の会員情報を預かる企業にとって、点検の対象は侵入を防ぐ仕組みにとどまらない。「ITmedia エンタープライズ」が報じてきた事例や調査を基に、確かめておきたい項目を3つに整理した。

1. ID管理：　盗まれた認証情報だけでログインされない仕組みがあるか
2. 検知：　不正アクセスに気付き、経緯を追えるログを残しているか
3. 顧客の保護：　漏えい情報を使ったフィッシングから顧客を守れるか

　1つ目はID管理だ。セキュリティベンダーのSophosが2026年3月に公表したレポートによると、同社が調査した661件の事例のうち67％で、認証情報の窃取や不正利用などID関連の問題が侵入の起点になった。調査対象の59％では多要素認証（MFA）が導入されておらず、盗まれた認証情報がそのまま使える状態だった（「Active Directory到達まで約3.4時間　サイバー攻撃の調査で分かった厳しい実態」）。

　2つ目は検知だ。同じレポートによると、侵入した攻撃者が「Active Directory」に到達するまでの時間は約3.4時間だった。データ窃取の79％は業務時間外に発生しており、管理体制が手薄な時間帯が狙われている。ログの保存期間が足りず、調査に必要なログが欠落した例は前年の約2倍に増えた。増加の主な要因はファイアウォール機器で、初期設定のログ保存期間が7日、短い場合は24時間しかなかった。Sophosは対策として、24時間の監視体制とセキュリティログの長期保存などを挙げている。

　3つ目は、漏えいした情報を悪用したフィッシングから顧客を守る備えだ。偽サイトでワンタイムパスワードまで盗み取る「リアルタイムフィッシング」では、SMSなどを使うMFAを設定していても不正ログインを防げない。国内では、オンライン証券でMFAの必須化が進んだ後も口座乗っ取りの被害が続いた（「多要素認証突破も当たり前　今話題のリアルタイムフィッシングとは？」）。

　こうした手口への対策として、フィッシング耐性の高い認証方式「パスキー」を顧客向けサービスに導入する企業もある。SMBC日興証券は個人顧客向けWebサービスの認証にパスキーを採用し、約5カ月で導入し、2026年1月に運用を始めた（「SMBC日興証券が『パスキー』で口座乗っ取り対策　約5カ月で実現したのはなぜ？」）。

　ただ同社は2026年10月6日、パスキーを保存、同期する「Apple Account」や「Google アカウント」が乗っ取られると、保存されたパスキーを使って証券口座にも不正アクセスされる可能性があるとして、利用者に注意を呼び掛けた。同社のシステムに侵入されたわけではないという。

　ビーケー・ジャパンは再発防止策として、システムのセキュリティ対策と監視体制を強化するとしている。対象の利用者にはメールで個別に案内する。