ハンバーガーチェーン「バーガーキング」を国内で展開するビーケー・ジャパンは2026年10月15日、公式アプリの会員情報約1118万件が不正アクセスによって外部に流出したと発表した。不正アクセスは10月2〜7日に行われ、同社は10月13日に流出を確認した。侵入の経路や原因は、外部の専門機関と連絡して調べている。同社は不正アクセス元からの通信を遮断し、個人情報保護委員会に報告した。
流出したのは会員IDやメールアドレス、氏名、電話番号、生年月日などだ。クレジットカード番号は同社が保有しておらず、ログインパスワードの流出も現時点では確認されていない。
不正利用などの二次被害は現時点では確認されず
不正利用などの二次被害も現時点では確認されていない。ただ同社は、自社や自社のサービスを装った不審なメールやSMS、電話に注意するよう利用者に呼びかけている。
侵入を防ぐだけでは足りない。会員情報を扱う企業にとって、確認の対象は侵入を防ぐ仕組みにとどまらない。「ITmedia エンタープライズ」が報じてきた事例や調査を基に、確かめておきたい項目を3つに整理した。
ID管理：盗まれた認証情報だけでログインされない仕組みがあるか
1つ目はID管理だ。セキュリティベンダーのSophosが2026年3月に公表したレポートによると、同社が調査した661件の事例のうち67%で、認証情報の窃取や不正利用などID関連の問題が侵入の起点になった。調査対象の59%では多要素認証（MFA）が導入されておらず、盗まれた認証情報がそのまま使える状態だった。
検知：不正アクセスに気付き、経路を追えるログを残しているか
2つ目は検知だ。同じレポートによると、侵入した攻撃者が「Active Directory」に到達するまでの時間は約3.4時間だった。データ窃取の79%は業務時間外に発生しており、管理体制が手薄な時間帯が狙われている。ログの保存期間が足りず、調査に必要なログが失われた例は前年の約2倍に増えた。増加の主な要因はファイアウォール機器で、初期設定のログ保存期間が7日、短い場合には24時間しかなかった。Sophosは対策として、24時間の監視体制とセキュリティログの長期保存などを挙げている。
顧客の保護：流出情報を使ったフィッシングから顧客を守れるか
3つ目は、流出した情報を悪用したフィッシングから顧客を守る備えだ。偽サイトでワンタイムパスワードまで盗み取る「リアルタイムフィッシング」では、SMSなどを使うMFAを設定していても不正ログインを防げない。国内では、オンライン証券でMFAの必須化が進んだ後も口座乗っ取りの被害が続いた。
こうした手口への対策として、フィッシング耐性の高い認証方式「パスキー」を顧客向けサービスに導入する企業もある。SMBC日興証券は個人顧客向けWebサービスの認証にパスキーを採用し、約5カ月で導入し、2026年1月に運用を始めた。
ただ同社は2026年10月6日、パスキーを保存、同期する「Apple Account」や「Google アカウント」が乗っ取られると、保存されたパスキーを使って証券口座にも不正アクセスされる可能性があるとして、利用者に注意を呼びかけた。同社のシステムに侵入されたわけではないという。
ビーケー・ジャパンは再発防止策として、システムのセキュリティ対策と監視体制を強化するとしている。対象の利用者にはメールで個別に案内する。
