バーガーキング公式アプリに不正アクセス｜会員情報約1,118万件が漏えい

バーガーキング（ビーケー・ジャパン）が公表した内容

2026年10月15日、株式会社ビーケー・ジャパン・ホールディングスは、同社が運営する「バーガーキング公式アプリ」の会員情報を管理するシステムが第三者による不正アクセスを受け、約1,118万件の会員情報が外部へ漏えいしたことを公表しました。

公式発表によると、2026年10月2日から10月7日にかけて不正アクセスが発生し、調査の過程で10月13日に個人情報の漏えいが確認されました。

現時点で公表されている概要は次のとおりです。

項目	公表内容
対象サービス	バーガーキング公式アプリ（会員情報管理システム）
不正アクセスの発生期間	2026年10月2日〜10月7日
情報漏えいの判明日	2026年10月13日
公表日	2026年10月15日
漏えいが確認された件数	約1,118万件
クレジットカード・パスワード	クレジットカード番号は保持しておらず対象外。パスワードの漏えいも確認されていない
公表時点の被害状況	漏えいした情報の不正利用など二次被害は確認されていない

国内の飲食・小売チェーンの公式アプリを狙った不正アクセスが相次ぐなか、約1,118万件という大規模な件数が対象となった事案です。

漏えいした情報と漏えいしていない情報

公式発表では、漏えいが確認された会員情報の項目と、漏えいの対象外である情報が分けて示されています。

区分	情報の内容
漏えいした情報（約1,118万件）	会員ID、メールアドレス、登録種別、都道府県、性別、生年月日、氏名（漢字・カナ）、電話番号、モバイルオーダー履歴の有無、メールアドレス認証の有無
漏えいしていない情報	クレジットカード番号（システム上で保持していない）、ログインパスワード

会員ごとの登録状況によって、実際に含まれる項目は異なります。

同社は、クレジットカード番号を会員管理システム内で保持していないため、カード情報の漏えいはないと説明しています。また、ログインパスワードの漏えいも現時点では確認されていません。

一方で、氏名、生年月日、電話番号、メールアドレスに加え、「モバイルオーダー履歴の有無」などが含まれているため、アプリの利用状況を踏まえたもっともらしいなりすまし連絡には注意が必要です。

不正アクセスの発生期間と公表までの経緯

不正アクセスの発生から情報漏えいの判明、対外公表までの経緯は以下のとおりです。

日付	公表内容
2026年10月2日〜10月7日	会員情報を管理するシステムに対して第三者による不正アクセスが発生
2026年10月13日	システム調査の結果、約1,118万件の会員情報が漏えいしたことが判明。当該通信元からのアクセスを遮断
2026年10月15日	対策本部の設置および個人情報保護委員会への報告を実施し、事案を公表。対象となる会員への順次案内を開始

同社は不正アクセスを確認した後、直ちに該当する通信元からのアクセスを遮断し、外部の専門機関と連携して詳細な原因調査と監視強化を進めています。

不正アクセスの詳しい原因は公表されているか

2026年10月15日の公式発表時点では、会員情報を管理するシステムが第三者から不正アクセスを受けたことは明らかにされていますが、次の技術的な詳細は公表されていません。

• 最初の侵入経路や攻撃手法
• アプリケーションやAPI、サーバーソフトウェアの脆弱性の有無
• 認証情報の不正利用や設定不備の有無
• 短期間で約1,118万件のデータが取得された具体的な仕組み
• 攻撃者や攻撃グループに関する情報

そのため、特定のソフトウェアやシステム構成を原因として推測することはできません。外部専門機関による調査が継続されており、今後新たな事実が判明した場合は改めて案内するとしています。

バーガーキング公式アプリ利用者が確認したい対応

ビーケー・ジャパンは、対象となる会員に対して登録メールアドレス宛てに順次案内を送信しています。公式アプリを利用している方は、次の点を確認してください。

バーガーキングを装うフィッシングメール・SMSに注意する

メールアドレスや電話番号、氏名、モバイルオーダー利用の有無などが漏えいしているため、バーガーキングや決済サービスを装ったフィッシングメール・SMSが送られてくる可能性があります。

• クーポン配布やアカウント再認証、モバイルオーダーの確認を装うURLを安易に開かない
• メールやSMSのリンク先でログインパスワードやクレジットカード番号を入力しない
• 添付ファイルを不用意に開かない

最新のお知らせやクーポンの確認は、メッセージ内のリンクからではなく、公式アプリまたは公式サイトから直接アクセスして確認してください。

不審な電話や他サービスでの使い回しパスワードを見直す

今回の事案ではログインパスワードの漏えいは確認されていませんが、万一に備えて他のWebサービスと同じパスワードを使い回している場合は、サービスごとに異なるパスワードへ変更しておくことが推奨されます。また、氏名や電話番号を名指しした不審な電話や勧誘にも応じないよう注意してください。

会員アプリ・モバイルオーダーを運営する企業が確認したい5つの項目

以下は、今回の事案の原因を推測するものではありません。大規模な会員基盤を持つモバイルアプリやモバイルオーダーシステムを運営する企業が、一般的な備えとして確認したい項目です。

1. アプリと通信するバックエンドAPIの認可制御を検証しているか

スマートフォンアプリは、裏側で会員管理システムのAPIと通信して情報を取得・更新します。API側で「ログイン中の本人以外の会員IDを指定してデータを取得できないか」「一覧取得APIや管理用エンドポイントに外部からアクセスできないか」を検証することが不可欠です。

2. 大量データの抽出（バルク取得）を検知・遮断できるか

数百万〜1,000万件規模の会員情報が数日間のうちに外部へ持ち出される事案を防ぐには、単一の通信元やアカウントからの連続的なデータ要求（スクレイピングや大量クエリ）を検知し、レートリミットや自動遮断を行う仕組みが求められます。

3. 会員管理システムに保存する情報を最小限にしているか

クーポン配信やモバイルオーダーの提供に本当に必要な情報だけを保持しているかを点検します。住所や電話番号、生年月日など、機能上必須でない項目の取得を見直すことや、一定期間利用のない休眠アカウントの整理も、万一の際の被害抑制につながります。

4. 管理画面や保守経路のアクセス制御を強化しているか

会員管理システムの管理画面やデータベースへの接続経路がインターネット上に露出していないかを確認します。IPアドレス制限、多要素認証（MFA）の必須化、不要なテスト環境・旧バージョンのAPIの停止を徹底することが重要です。

5. モバイルアプリとサーバー側を一体で診断しているか

アプリ本体の解析対策だけでなく、アプリから呼び出されるAPI、会員データベース、認証基盤までを一気通貫で点検する必要があります。自動診断ツールだけでは業務ロジックや認証・認可の不備を見落とすことがあるため、攻撃者視点での手動診断を組み合わせることが有効です。

公式アプリ・会員システムの安全性を確認したい企業へ

今回の公式発表では、不正アクセスの具体的な侵入経路は公表されていません。そのため、「特定のセキュリティ診断を実施していれば今回の事故を防げた」と断定することはできません。

一方、多くの利用者を抱える公式アプリや会員管理システムにおいて、アプリとAPIの通信仕様や権限設定、大量データ取得への耐性を事前に確認することは、重大な情報漏えいリスクを低減するための重要な取り組みです。

• アプリセキュリティ診断 — モバイルアプリ本体と通信先APIのセキュリティリスクを包括的に確認
• Webアプリセキュリティ診断 — 会員管理システム、モバイルオーダー機能、認証・認可制御の弱点を診断
• ペネトレーションテスト — 攻撃者の視点で会員データベースへの到達可能性や大量抽出リスクを検証
• 脆弱性診断 — 公開サーバーやクラウド環境の既知の脆弱性・設定不備を幅広く確認

アプリの改修や会員規模の拡大に伴い、どこから点検すべきか迷われている場合でも、現在のシステム構成に合わせて最適な診断範囲をご提案します。

よくある疑問

Q. バーガーキング公式アプリの不正アクセスで何件の情報が漏えいしましたか？

A. 公式アプリの会員情報を管理するシステムから、約1,118万件の会員情報が外部へ漏えいしたと公表されています。

Q. どのような個人情報が漏えいしましたか？

A. 会員ID、メールアドレス、登録種別、都道府県、性別、生年月日、氏名（漢字・カナ）、電話番号、モバイルオーダー履歴の有無、メールアドレス認証の有無が対象です。登録状況により含まれる項目は異なります。

Q. モバイルオーダーで利用したクレジットカード番号やパスワードも漏えいしましたか？

A. いいえ。クレジットカード番号は対象システム内で保持していないため漏えいはありません。また、ログインパスワードの漏えいも公表時点では確認されていません。

Q. 不正アクセスはいつ発生しましたか？

A. 2026年10月2日から10月7日にかけて不正アクセスが発生し、調査の過程で10月13日に情報漏えいが判明、10月15日に公表されました。

Q. 漏えいした情報を悪用した二次被害は確認されていますか？

A. 2026年10月15日の公表時点では、漏えいした情報の不正利用などの二次被害は確認されていません。ただし、登録情報を悪用したなりすましメールやSMSが届く可能性があるため注意が必要です。

Q. 公式アプリの利用者はどのような点に注意すればよいですか？

A. バーガーキングや関連サービスを装った不審なメール、SMS、電話に注意し、メッセージ内のURLを安易に開いたり、パスワードやカード番号を入力したりしないよう注意してください。

まとめ

バーガーキング公式アプリの会員情報を管理するシステムが第三者による不正アクセスを受け、約1,118万件の会員情報が漏えいしました。氏名、生年月日、電話番号、メールアドレス、モバイルオーダー履歴の有無などが対象となっています。

クレジットカード番号はシステムで保持しておらず、ログインパスワードの漏えいや二次被害も公表時点では確認されていません。アプリ利用者は、公式からの案内を確認するとともに、バーガーキングを装うフィッシングメールやSMSに十分警戒してください。

参考情報

• バーガーキング（ビーケー・ジャパン）「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」

関連ページ

• アプリセキュリティ診断 — モバイルアプリとバックエンドAPIのリスクを診断
• Webアプリセキュリティ診断 — 会員管理システムやAPI、認証機能の弱点を確認
• ペネトレーションテスト — 攻撃者の視点で重要データへの到達可能性を検証
• 脆弱性診断 — 公開システムやサーバーの脆弱性・設定不備を幅広く確認