バーガーキング公式アプリ約1,118万件の情報漏えい、漏れた氏名・電話番号・生年月日で何をされるのかまとめました

2026年10月15日、株式会社ビーケー・ジャパンは、「バーガーキング」公式アプリの会員情報を管理するシステムが第三者の不正アクセスを受け、会員情報が外部に漏えいしたことを確認したと公表しました[1]。対象は約1,118万件です。漏れたのは、会員ID、メールアドレス、登録種別、都道府県、性別、生年月日、氏名（漢字・カナ）、電話番号、モバイルオーダー履歴の有無、メールアドレス認証の有無としています。クレジットカード番号は同社で保持しておらず漏えいしていない、ログインパスワードの漏えいは現在確認されていない、とのことです。

パスワードの漏えいが確認されていない点は、ひとまず安心材料です。ただ、それで安心とは言い切れません。今回の項目には、「本人らしく見せる」材料と、「誰を狙えばよいか」の目印が両方含まれているからです。

「自分の名前や電話番号、生年月日で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、アプリの中で認証が使われる場所を、公開情報から整理しました。事故の経緯は多くの報道が扱っているため、短くとどめます。

この記事の要点

• 名前・生年月日まで正しく入った、バーガーキングをかたるメールやSMSが届きやすくなります。同社も不審なメール・SMS・電話への注意を呼びかけています。
• メールアドレスとパスワードで登録していて、他のサービスと同じパスワードを使っている人は、変えておくと安心です。
• 会社側がまず見直したいのは、問い合わせ窓口での本人確認と、ログインやパスワード再設定の確認がメールだけで完結していないかです。

なお、本記事は公表文、公式のよくある質問、アプリストアの説明など、公開情報だけをもとにしています。アプリの画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1]によると、概要は次のとおりです。

同社は対象者へのメールでの案内を順次進めるとしています[1]。

漏れた情報で、何ができてしまうか

漏れた項目は、大きく2つに分けて考えると見通しがよくなります。「本人らしく見せる材料」と、「誰を狙うかの目印」です。

表の最後の2行にある項目は、一つずつなら目立たない情報です。けれども1,000万件規模でそろうと、「本物らしい文面」と「刺さりやすい相手」を同時に手に入れたことになります。知っていることだけで本人と見なす仕組みは、その情報が漏れた時点で弱くなります。

このアプリで認証が使われる場所

公式のよくある質問やアプリストアの説明など、公開情報で確認できた範囲で並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、システムのセキュリティ対策と監視体制の強化、外部専門機関の助言を得た再発防止が挙げられています[1]。一方で、ログインやパスワード再設定の確認方法を変えるといった記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. 本人確認の質問から、漏れた項目を外す。問い合わせ窓口やアカウントの復旧、登録メールアドレスの変更で、「氏名・生年月日・電話番号・メールアドレスが合えば本人」という扱いになっていないか。仕組みを作り直さなくても、運用の見直しから始められます。
2. メールだけで完結する確認に、もう一つ足す。ログイン、パスワード再設定、メールアドレスの変更が、メールに届く認証番号だけで通る形だと、偽メールに引っかかった人やメールを乗っ取られた人を守れません。
3. お金と特典が動く場面に、追加の確認を入れる。登録済みの支払い方法での注文、ステージ特典の利用などです。毎回のログインを重くせず、狙われる場面だけを固めるという考え方です。

認証の観点から：「番号を知っている」と「その電話を持っている」は違う

今回、1,000万件を超える電話番号が、氏名や生年月日と一緒に漏れました。ここで分けて考えたいのは、「電話番号を知っていること」と「その電話番号の回線を実際に持っていること」は別物だという点です。

前者は、もう多くの第三者に知られてしまったかもしれません。一方で後者は、情報が漏れても変わりません。メールに届く認証番号も、メールアカウントが乗っ取られれば攻撃者の手に渡ります。認証の土台を「知っているか」から「持っているか」へ移すことが、漏えいの後にこそ効いてくる対策です。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を『制限付き（restricted）』の手段と位置づけています[5]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら