焼肉きんぐ公式アプリ ― ほぼ全会員分の情報が流出

要点

発表された事実

物語コーポレーションは2026年10月5日、「焼肉きんぐ」公式アプリの会員管理システムが第三者の不正アクセスを受け、会員情報が漏えいしたと公表した（同社のお詫び、適時開示）。
10月2日に不正アクセスを確認し、通信遮断と防御措置を実施したが、10月3日に会員情報の漏えいを確認した（同上）。
ユーザー登録数10,808,784件のうち、流出は10,788,963件。項目は会員番号、氏名（アプリ登録名）、メールアドレス、電話番号（同上）。
ログインパスワード、生年月日、性別、郵便番号、保有ポイントを含む店舗利用履歴は流出していない。クレジットカードなどの決済情報は同社が保持していない（同上）。
他ブランドの公式アプリにも同様の防御措置を講じており、情報漏えいの事実はないとしている。不特定多数への公開や不正利用は確認されていない（同上）。
【2026-10-20追記】物語コーポレーションは10月20日、今後のセキュリティと個人情報保護の強化策を公表した。不正アクセスは10月2日（金）朝9時から、外部の第三者による断続的な攻撃として始まったと説明している。関係会社の協力で外部からの侵入を防ぐ追加対策と監視の強化を続け、AIを活用した検知システムの導入も検討する。また、店舗予約システムとの連携のために取得してきた氏名（アプリ登録名）と電話番号について、「焼肉きんぐ」を含むグループの計11の公式アプリで保持をやめ、一部のデータだけを管理する新しいシステムに2027年上半期をめどに切り替える。メールアドレスは予約機能のため取得を続けるが、将来はメールアドレスも含めて個人情報を保持しない仕組みへの刷新を目指すとしている（物語コーポレーションのお知らせ）。
【2026-10-20追記】同じお知らせで、警察への届け出は済ませ、二次被害に備えて関係機関と連携体制を作ったと説明。個人情報保護委員会への報告手続きを進めるとともに、政府関係省庁にも状況報告と情報共有をして助言を受けながら再発防止策を策定しているとした。原因・侵入経路には触れていない（同上）。

わかったこと

【2026-10-20】不正アクセスの始まり: 10月2日（金）朝9時から、外部の第三者による断続的な攻撃を受けた（物語コーポレーション）。
【2026-10-20】再発防止策の方針: 追加の侵入防止策と監視強化の継続、AIを活用した検知システムの導入検討、グループ計11の公式アプリで氏名・電話番号を保持しないシステムへの変更（2027年上半期予定）、将来的にメールアドレスも保持しない構造への刷新（同上）。

わかっていないこと

侵入経路・原因（「不正アクセスが可能となった経緯」を調査中）【2026-10-20追記】10月20日のお知らせでも触れられていない
会員管理システムの開発・運用をどこが担っているか（「開発会社・関係会社」とのみ記載）
不正アクセスが始まった時刻と、検知から通信遮断までの時間【2026-10-20追記】開始は10月2日朝9時と判明（上記）。検知と遮断の時刻、「断続的な攻撃」がいつまで続いたかは未公表
流出データの公開・不正利用の有無（現時点では確認されていない）
再発防止策の具体的な内容【2026-10-20追記】方針は公表された（上記）。AI検知システムは「検討」段階で、新システムの詳細は今後案内するとしている
業績への影響（精査中）

関係しそうな既知の手口

（考察）登録者の99.8%分という規模と、一部の項目だけが抜かれている点から、データベース全体を丸ごと持ち出したというより、会員情報を返すAPIや管理機能を通じて特定の項目を大量に取得された可能性が考えられる。ただし会社は手口を公表していない。

概要

外食チェーン「焼肉きんぐ」の公式アプリから、ユーザー登録のほぼ全件にあたる約1079万件の会員情報が流出した。
流出したのは会員番号・登録名・メールアドレス・電話番号で、パスワードや生年月日、来店履歴は含まれないと会社は説明している。
不正アクセスの確認から1日で漏えいを確認しているが、原因と侵入経路は調査中。アプリはサービスを続けている。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2026-10-02	公式アプリの会員管理システムへの第三者の不正アクセスを確認。通信遮断と防御措置を実施
2026-10-03	会員情報が漏えいしたことを確認
2026-10-05	公式サイトでお詫びを掲載し、適時開示。個人情報保護委員会への報告と警察への被害届提出を進めていると説明
2026-10-20（火）	今後のセキュリティ・個人情報保護強化策を公表。不正アクセスは10月2日朝9時からの断続的な攻撃と説明。グループ計11アプリで氏名・電話番号を保持しないシステムへ2027年上半期に変更予定（物語コーポレーション）

発表内容の整理

事実

対象

「焼肉きんぐ」公式アプリの会員（ユーザー登録数10,808,784件のうち10,788,963件）
日本経済新聞は、このシステムを店舗予約や来店履歴に応じたクーポン受け取りに使う会員管理のシステムと報じ、「丸源ラーメン」「ゆず庵」など他ブランドのアプリは不正アクセスを受けていないとしている（日本経済新聞）。

流出した情報・流出していない情報

区分	項目
流出した	会員番号、氏名（アプリ登録名）、メールアドレス、電話番号
流出していない	ログインパスワード、生年月日、性別、郵便番号、保有ポイントを含む店舗利用履歴
保持していない	クレジットカードなどの決済情報

会社の対応と利用者への案内

防御措置を講じたうえでアプリの提供を継続。開発会社・関係会社の協力を得てセキュリティ対策と監視体制を強化するとしている。
漏えいした情報がなりすましメールやフィッシング詐欺に悪用されるおそれがあるとして、不審なメール・SMS・電話に注意し、身に覚えのないリンクや添付ファイルを開かないよう呼びかけている。
同社からパスワードやクレジットカード情報を尋ねることはないとしている。
問い合わせ窓口として公式アプリ専用コールセンター（0120-795-775、10時〜18時、土日祝日を含む）を設けている。
【2026-10-20追記】グループ計11の公式アプリで、氏名（アプリ登録名）・電話番号を保持しないシステムへ2027年上半期をめどに変更する。メールアドレスは予約機能のため当面取得を続ける。詳細が決まり次第、利用者に別途知らせるとしている（物語コーポレーション）。

考察

流出した項目が「連絡先とその持ち主の名前」に絞られている一方、同じ会員管理システムにあるはずの生年月日や利用履歴は流出していないとされている。会社が項目単位で「流出していない」と言い切れているのは、アクセスログなどから攻撃者が取得したデータの範囲を特定できたことを示している可能性がある。

件数が登録者のほぼ全件である点も重い。一部の会員だけが狙われたのではなく、会員を一覧できる何らかの機能が攻撃者の手に渡ったと読める。

【2026-10-20追記】（考察）10月20日の強化策は、侵入を防ぐ対策に加えて「そもそも氏名と電話番号を持たない」というデータ最小化に踏み込んでいる。今回流出した4項目のうち2項目を持たなくなれば、同じ規模の侵害が起きても漏れる情報は減る。一方で変更は2027年上半期の予定で、それまでは今の構成のまま運用される。原因と侵入経路が明らかにされないままでは、追加対策が今回の手口をふさいでいるかを外から確かめることはできない。

関係しそうな既知の手口

考察

会員アプリのバックエンドAPIで、会員IDを順番に変えるだけで他人の情報が返ってくる認可不備（IDOR、オブジェクト単位の認可の欠落）は、大量の会員情報流出でたびたび原因になってきた。本件がこれに当たるかは公表されていない。
管理画面や運用ツールの認証情報が盗まれ、正規の管理機能で会員データを書き出されるケースもある。今回のように「開発会社・関係会社」がシステムに関わっている場合、委託先側のアカウント管理も論点になる。
同時期には、タイムズカーやセイコーマートアプリなど、会員アプリや会員基盤からの大規模な流出の公表が続いている。共通の原因があるかどうかは、各社とも侵入経路を明らかにしておらず判断できない。

利用者・運用者がいまできること

事実（発表に基づく）

焼肉きんぐや物語コーポレーションを名乗るメール・SMS・電話に記載されたリンクや添付ファイルは開かない。同社がパスワードやカード情報を尋ねることはない。

考察（利用者向け）

流出したのはメールアドレスと電話番号なので、「ポイント失効」「クーポン配布」「当選」などを口実にしたフィッシングや、店舗を装ったSMSが増えると考えておく。アプリの公式ストア版以外からの更新案内は無視する。
パスワードは流出していないとされているが、同じメールアドレスと同じパスワードをほかのサービスでも使っている場合は、この機会に見直しておく。

考察（会員アプリを運用する側）

会員情報を返すAPIで、リクエストした本人以外のデータが取れないかを確認する。件数の多い取得や連番アクセスを検知する仕組みがあるかも点検する。
開発・保守を委託している場合、委託先が使う管理画面・踏み台・クラウドの認証情報に多要素認証がかかっているかを確認する。

参考リンク

原文をGitHubで読む ↗