要点
発表された事実
- 株式会社ビーケー・ジャパンは2026年10月15日、運営するバーガーキング公式アプリにおいて、第三者による不正アクセスを受け、公式アプリ会員の会員情報が外部に漏えいしたことを確認したと公表した（ビーケー・ジャパンの発表PDF）。
- 公式アプリの会員情報を管理するシステムに対し、2026年10月2日（金）から10月7日（水）にかけて不正アクセスが行われ、会員情報が漏えいしたことが、2026年10月13日（火）に判明した（同）。
- 対象は公式アプリ会員情報約1,118万件。内容は会員ID、メールアドレス、登録種別、都道府県、性別、生年月日、氏名（漢字・カナ）、電話番号、モバイルオーダー履歴の有無、メールアドレス認証の有無（同）。
- クレジットカード番号は同社で保持しておらず漏えいしていない。ログインパスワード情報の漏えいは現在確認されていない（同）。
- 不正アクセスの事実把握後、通信元からのアクセスを直ちに遮断。暫定対策、対策本部の設置、個人情報保護委員会への報告を実施済み。対象のお客様へのメール案内を順次実施中（同）。
- 現時点で本件に起因する不正利用などの二次被害は確認されていない（同）。
わかっていないこと
- 不正アクセスが可能となった経緯および詳細な原因（外部専門機関と連携して調査中）
- 侵入に使われた具体的な経路（どのインターフェース・どの認証の不備か）
- 約1,118万件のうち、実際に持ち出された範囲の確定（「約1,118万件」が対象母数か実漏えい件数かの切り分け）
- ログインパスワード情報の漏えい有無の最終確認
- 恒久対策の内容と完了時期
概要
- バーガーキング公式アプリの会員管理システムが10月2〜7日に不正アクセスを受け、約1,118万件の会員情報が漏えいした。
- 氏名・メール・電話・生年月日などは漏れた一方、クレジットカード番号は非保持で対象外。パスワード漏えいも現時点では未確認。
- 件数が大きくても決済情報が含まれない設計が、金融被害の拡大を抑えた形に読めるが、連絡先と属性のセットは詐欺やなりすましの材料になり得る。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-02（金）〜10-07（水） | 公式アプリの会員情報を管理するシステムに対する第三者による不正アクセス（ビーケー・ジャパンの発表） |
| （事実把握後） | 当該通信元からのアクセスを直ちに遮断（同） |
| 2026-10-13（火） | 会員情報が漏えいしたことが判明（同） |
| 2026-10-15（水） | 公表。対策本部の設置、個人情報保護委員会への報告、対象者へのメール案内を実施・継続（同） |
発表内容の整理
事実（ビーケー・ジャパンの発表）
| 項目 | 内容 |
|---|---|
| 対象サービス | バーガーキング公式アプリの会員情報を管理するシステム |
| 件数 | 公式アプリ会員情報 約1,118万件 |
| 漏えいした情報 | 会員ID、メールアドレス、登録種別、都道府県、性別、生年月日、氏名（漢字・カナ）、電話番号、モバイルオーダー履歴の有無、メールアドレス認証の有無 |
| 漏えいしていない／未確認 | クレジットカード番号（非保持のため漏えいなし）。ログインパスワード情報の漏えいは現時点で未確認 |
| 原因 | 第三者による不正アクセス。経緯・詳細は外部専門機関と連携して調査中 |
| 対応（実施済み） | 通信遮断、暫定対策、対策本部設置、個人情報保護委員会への報告 |
| 対応（継続） | 恒久対策、外部専門機関と連携した調査、対象者へのメール案内 |
| 二次被害 | 現時点で確認されていない |
| 問い合わせ | カスタマーサービス TEL 0120-945-630 / customerservice@burgerking.co.jp（平日10時〜17時、土日祝休業） |
考察
件数だけ見ると、同週前後に公表された国内事案の中でも最大級の部類に入る。一方で、漏えい項目に決済情報が含まれていない点は、被害の「深さ」を限定している。ITmediaビジネスオンラインも、クレジットカード番号の非保持が金融被害の拡大を防いだと指摘している（ITmedia）。
それでも、氏名・メール・電話・生年月日・都道府県がそろえば、フィッシングやSMS詐欺で「本物らしさ」を演出する材料になる（考察）。「モバイルオーダー履歴の有無」「メールアドレス認証の有無」といったフラグも、どのアカウントがアクティブかを攻撃側が選別する手がかりになり得る。
「約1,118万件」が、漏えい期間中に実際に取得された件数なのか、会員母数全体を上限として示しているのかは、発表文面だけでは切り分けきれない。続報での確定を待つ必要がある。
関係しそうな既知の手口
事実（既知の知見・同種事例）
- JPCERT/CCは10月8日の注意喚起で、公開しているスマートフォンアプリを解析してAPIのエンドポイントやキーを特定する手口や、内部APIへの攻撃を「API経由での不正な操作」として示した（JPCERT/CC）。
- NICTは10月13日、公開アプリを解析してサーバー仕様を調べ、APIの認可不備などを突く「A2B攻撃」を国内の情報漏えい事案の原因の一つとして特定したと注意喚起した（NICT CYNEX）。
- 飲食・小売の会員アプリでは、焼肉きんぐ公式アプリで登録のほぼ全件に近い約1,079万件が流出した事例がある（焼肉きんぐの記事）。
考察
- 「管理するシステム」という言い方は、画面の先のDBやAPIを指している可能性が高い：アプリ自体の改ざんではなく、会員情報を返す裏側が突かれた説明に読める。ただし経路は未公表なので、認証情報の窃取、APIの認可不備、管理画面の侵害など、どの型かは現時点では区別できない。
- 非保持は「漏えいしない」設計の一例：決済を外部に任せ、自社にカード番号を置かない運用は、今回のように会員台帳が抜けても金融情報まで一并で持っていかれない。一方で、連絡先と属性のセットは別のリスク（詐欺・なりすまし）を残す。
利用者・運用者がいまできること
事実（発表に基づく）
- バーガーキングや同社サービスを装った不審なメール、SMS、電話に注意する。URLへのアクセス、添付の開封、会員情報やパスワードの入力を行わない。
- 問い合わせはカスタマーサービス（0120-945-630 / customerservice@burgerking.co.jp）へ。
考察（利用者向け）
- パスワードは現時点で漏えい未確認だが、メールアドレスと電話番号が漏れているため、他サービスでのパスワード使い回しがある場合は変更を検討する。
- 「バーガーキングからパスワード確認」「ポイント返還のため振込先を教えて」といった連絡は詐欺を疑う。公式の問い合わせ先に自分から連絡する。
考察（運用者向け）
- 会員アプリの裏側で会員情報を返すAPIに、サーバー側の認可とレート制限があるか点検する。
- 決済情報の非保持に加え、マイページやAPI応答に出す属性項目を最小化する。
- 単位時間あたりの大量取得や、通常と異なる会員ID列挙パターンにアラートを付ける。