要点
発表された事実
- デニーズは、旧アプリから新アプリへの移行処理で、第三者が認証情報を不正に作成し、一部のアカウントにアクセスできる状態だったと公表した（デニーズ 第一報）。
- 10月30日に判明して改修し、10月31日に不正な認証情報を無効にして個人情報保護委員会に速報、11月2日に追加分を無効にした（同）。
- 個人情報を取得する処理の実行履歴はあるが、第三者の操作か本人の操作か区別できず、取得の有無と人数を調べている（同）。
わかったこと
- 【2026-11-10追記】デニーズは11月9日の第二報で、不正アクセスが確認された利用者は5,590名、うち個人情報が漏えいした利用者は3,298名と確定したと公表した（11月8日に確定）。項目別では会員コード2,851件、メールアドレス19件、アプリ登録基本情報（生年月日・性別・都道府県）538件、お気に入り店舗91件、キッズバースデー71件（同じ人の重複を含む）。対象者には登録メールアドレスへ順次個別に連絡する（デニーズ 第二報）。
- 【2026-11-10追記】11月5日に個人情報保護委員会へ調査の進捗を追加報告し、11月5〜6日に不正アクセスの可能性がある認証情報を追加で無効化した。影響範囲の調査は完了したとし、原因の究明と安全性の確認は続けている（同）。
わかっていないこと
- 実際に取得されたかどうかと、その人数（【2026-11-10追記】11月9日の第二報で、漏えいした利用者を3,298名と確定）。
- 確認済みの10月7日分以外の期間に、同じようなアクセスがあったか。
- 移行処理のどこに不備があったか（【2026-11-10追記】第二報でも公表されず、原因究明を継続中）。
関係しそうな既知の手口
- （考察）アカウント移行や引き継ぎの処理は、本人確認を簡略化しがちで狙われやすい。今回も移行処理で認証情報が「作成」できた点が要になっている。
概要
- 主語：デニーズ（ファミリーレストラン「デニーズ」のアプリ）
- 何が起きたか：旧アプリから新アプリへの移行処理を悪用され、第三者が一部アカウントの認証情報を作成できた
- 影響の可能性がある情報：会員コード、メールアドレス、生年月日、性別、都道府県、お気に入り店舗、キッズバースデー情報
- 保持していない情報：氏名、住所、電話番号、パスワード、クレジットカード情報
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-10-07 | 調査で確認できているアクセス記録の日（この日の分のみ確認済み） | デニーズ 第一報 |
| 2026-10-30 | 不正な認証情報の作成が判明し、移行処理を改修 | 同 |
| 2026-10-31 | 不正に作成された認証情報を無効化。個人情報保護委員会に速報 | 同 |
| 2026-11-02 | 追加で見つかった不正な認証情報を無効化 | 同 |
| 2026-11-03 | 第一報を公表 | 同 |
| 2026-11-05 | 個人情報保護委員会へ調査の進捗を追加報告。11月5〜6日に不正アクセスの可能性がある認証情報を追加で無効化 | デニーズ 第二報 |
| 2026-11-08 | 不正アクセスが確認された利用者数（5,590名）と、個人情報が漏えいした人数（3,298名）が確定 | 同 |
| 2026-11-09 | 第二報を公表 | 同 |
発表内容の整理
事実（デニーズによる）
| 項目 | 内容 |
|---|---|
| 原因 | 旧アプリから新アプリへの移行処理で、第三者が認証情報を不正に作成できた |
| 対象 | 旧アプリを利用していた一部の会員 |
| 取得された可能性がある情報 | 会員コード、メールアドレス、生年月日、性別、都道府県、お気に入り店舗、キッズバースデー情報 |
| 保持していない情報 | 氏名、住所、電話番号、パスワード、クレジットカード情報 |
| 取得の有無 | 個人情報取得処理の実行履歴はあるが、本人の操作と区別できず調査中 |
| 利用者への影響 | 対応のため再ログインが必要になる場合がある |
考察
- 「認証情報を作成できた」という説明から、移行処理が本人確認を十分に行わずに新アプリ用の認証情報を発行していた可能性がある。ただし具体的な仕組みは公表されていない。
- 本人の操作と第三者の操作を区別できないため、取得の有無が確定しにくい。ログに操作元を区別できる情報を残す設計が重要になる。
関係しそうな既知の手口
事実
- デニーズは手口の詳細を公表していない。
考察
- アプリの刷新に伴うアカウント移行・引き継ぎ機能は、旧アプリの会員番号など推測しやすい値だけで新しい認証情報を発行してしまうと、なりすましの入口になる。今回がそれに当たるかは不明。
利用者・運用者がいまできること
- 利用者：再ログインを求められたら公式アプリから行う。メールアドレスが知られた前提で、デニーズを装うメールやSMSのリンクを開かない。
- アプリ運用者：アカウント移行や引き継ぎの処理で、本人確認に使う値が第三者に推測・入手されうるものになっていないかを確認する。