バーガーキングの会員情報漏えい（2026年10月公表）｜何が起きて、自社で何を確かめるか

公開：2026年10月16日／最終更新：同／Moshiru 岡﨑 悠太

何が起きたか（公表された事実）

同社の「不正アクセスによる公式アプリ会員情報漏えいに関するお詫びとお知らせ」（2026年10月15日）を要約します。

発表によると、不正アクセスがあったのは10月2日から7日です。漏えいが判明したのは10月13日でした。

実施済みの対応は、通信の遮断、暫定対策、対策本部の設置、個人情報保護委員会への報告と発表しています。

入口と、広がった理由

公表された範囲では、侵入の手口や入口は書かれていません。原因は調査中のため、この記事でも決めつけません。

ここからは一般論です。JPCERT/CCは2026年10月8日に注意喚起を出しました。9月ごろから、国内で不正アクセスによる個人情報の漏えいが相次いでいるとしています。

同じ注意喚起は、一般向けアプリだけでなく、社内向けのBIツールなども狙われたと書いています。手口の全体像は不正アクセスの最初の1時間と教科書のゼロデイ攻撃と機能の悪用で扱っています。

上の図は、会員情報を1か所にまとめた仕組み全般に当てはまる話です。今回のシステムの構成は公表されていません。

自社で確かめる3つ

会員数が数百人の会社でも、名簿の置き場所と入口の考え方は同じです。次の3つを確かめます。

1. 名簿の置き場所と入口を一覧にする：顧客や会員の情報が入ったシステム、その管理画面、外部とつなぐAPIを書き出します。作り方は情報資産台帳にあります。

2. 更新と、異常に気づく人を決める：使っているソフトやサービスの更新を、誰がいつ当てるかを決めます。大量の取り出しに気づけるかも確かめます。手順はパッチ管理とログの保管にあります。
3. 持ちすぎている情報を消す：使っていない項目や、退会した人の情報が残っていないかを見ます。

個人情報保護委員会も10月7日に注意喚起を出しました。使う必要がなくなった個人データの消去（法第22条、努力義務）を改めて求めています。

消去が徹底されず、漏えいがより深刻になった事例にも接していると書かれています。データベースの守り方はデータベースのセキュリティにまとめています。

取引先のチェックシートでは、ここに効く

取引先から届くセキュリティチェックシートにも、今回の確認と重なる設問がよくあります。

3つの確認の結果は、そのまま設問の答えの根拠になります。確かめた日付を残しておくと、次の年も使えます。

担当者のあなたにとって

大きな事故の報道のあとは、上司から「うちは？」と聞かれがちです。調べた範囲と結果を短く返せれば、一人で抱え込まずに済みます。

件名：バーガーキング公式アプリの件を受けた自社の確認

〇〇さん
10月15日公表の件（約1,118万件、原因は調査中）を受けて、
自社で3点を確かめました。

1. 会員・顧客情報の置き場所と、外からの入口
　→ 〇件。管理画面に外から入れるもの：〇件
2. 更新と、異常に気づく担当
　→ 更新の担当：〇〇　未対応：〇件
3. 使っていない個人データ
　→ 消去の候補：〇〇（〇月〇日までに判断が必要）

判断をお願いしたいこと：3の消去の可否
出典：同社のお知らせ（2026年10月15日）

原因が分かっていない事故なので、報告文でも原因には触れません。「公表された事実」と「自社で確かめたこと」だけを書きます。

よくある質問

この記事のまとめ

• 2026年10月15日、ビーケー・ジャパンが公式アプリ会員情報約1,118万件の漏えいを公表しました。原因の詳細は調査中です。
• 自社では、名簿の置き場所と入口、更新と異常の気づき、持ちすぎている情報の3つを確かめます。
• 結果は上司への報告と、取引先のチェックシートの答えの根拠に使えます。

参考にした資料

1. 株式会社ビーケー・ジャパン「不正アクセスによる公式アプリ会員情報漏えいに関するお詫びとお知らせ」（2026年10月15日）
2. JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（2026年10月8日公開、10月9日更新）
3. 個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（2026年10月7日）