焼肉きんぐ公式アプリに不正アクセス、会員1,078万人分の氏名・メールアドレス・電話番号が漏えい — 会員アプリを持つ店舗の確認点
焼肉チェーン「焼肉きんぐ」を運営する物語コーポレーションは2026年10月5日、公式アプリの会員管理システムが第三者の不正アクセスを受け、会員情報が漏えいしたと公表した。対象はアプリ登録者1,080万8,784件のうち1,078万8,963件で、登録者のほぼ全員にあたる。漏えいしたのは会員番号、アプリの登録名、メールアドレス、電話番号の4項目である。パスワードや決済情報は含まれていない。侵入の経路は調査中として公表されていない。この記事では公表資料で確認できる事実を整理し、会員が気をつけることと、会員アプリを持つ店舗が見直す点をまとめる。
背景
同社の発表によると、10月2日に会員管理システムへの不正アクセスを確認し、通信を遮断して防御策を講じた。翌3日に会員情報の漏えいを確認している。アプリは外部からの侵入を防ぐ対策をとったうえで運用を続けており、同社の他のブランドのアプリにも同じ対策を行った。他のアプリでは漏えいは確認されていない。
漏えいしていない情報として、同社はログインパスワード、生年月日、性別、郵便番号、ポイント残高、店舗の利用履歴を挙げている。クレジットカードなどの決済情報は、もともと同社が保有していない。公表時点で、漏えいした情報の公開や不正利用は確認されていない。同社は個人情報保護委員会へ報告し、警察に被害届を出した。アプリの開発会社や関係会社と協力して、監視とセキュリティの強化を進めるとしている。
リスクの全体像
会員にとっての危険は、名前とメールアドレスと電話番号の組み合わせが外に出たことである。これだけあれば、「焼肉きんぐ」や他の有名企業を名乗る偽のメールやSMSを、本人の名前入りで送ることができる。お詫びのクーポン、ポイントの補償、アカウントの確認といった口実で偽サイトに誘導し、パスワードやカード番号を入力させる手口が考えられる。同社は、パスワードやクレジットカード情報を問い合わせることはないと注意を呼びかけている。
企業側から見て注目したいのは、被害が「ほぼ全員分」に及んだ点である。会員管理システムに入られた時点で、登録されている全件がまとめて持ち出されたことになる。アプリの会員数が多いほど、1回の侵入で失うものは大きくなる。今回はパスワードや生年月日を含まなかったことが被害を抑えているが、これは会員管理システムに置く情報を絞っていた結果とも読める。
同じ時期には、アンケートサイト、通販、証券会社の委託先など、会員情報を持つ国内のサービスで不正アクセスの公表が相次いでいる。会員アプリや会員サイトは、外部から常に接続を受け付ける作りのため、攻撃者が最初に探す入口になりやすい。
チェックリスト
- 会員として: 焼肉きんぐを名乗るメール・SMS・電話で、リンクを開いたり個人情報を入力したりしていないか
- 会員として: 「お詫び」「補償」「アカウント確認」をうたう連絡は、アプリや公式サイトから自分で確認しているか
- 店舗・企業として: 自社の会員アプリや会員サイトが、どの開発会社のどのシステムで動いているか把握しているか
- 店舗・企業として: 会員管理システムに、使っていない情報（生年月日、住所など）を保存したままになっていないか
- 店舗・企業として: 会員データを大量に読み出す操作があったとき、気づける監視の仕組みがあるか
- 店舗・企業として: 漏えいが起きたとき、会員への連絡、問い合わせ窓口の設置、当局への報告を誰が行うか決まっているか
打ち手
会員の側は、届いたメールやSMSのリンクから操作しないことが基本になる。補償やクーポンの案内が本物かどうかは、アプリを自分で開くか、公式サイトのお知らせで確かめる。同社は公式アプリ専用のコールセンター（0120-795-775、10時〜18時、土日祝日も受付）を設けている。
会員アプリや会員サイトを運営する企業が取れる打ち手は3つある。1番目は、持っている情報を減らすことである。会員管理システムに置く項目を業務で使うものだけに絞り、使わない項目は削除するか、別のシステムに分ける。今回のように、パスワードや生年月日を持っていなければ、漏れても被害は小さく済む。2番目は、大量の読み出しに気づく仕組みである。通常の利用ではありえない件数の会員データが短時間に読み出されたら、警告が出るように開発会社と設定を決めておく。3番目は、開発会社との契約の確認である。アプリを外注している場合、不正アクセスの監視、脆弱性の更新、事故が起きたときの調査を、どこまで開発会社が受け持つのかを契約書で確かめる。
持っていない情報は、漏れようがない
あわせて読みたい
- セイコーマートアプリに不正アクセス、会員57万人分の氏名・住所などが閲覧される 発覚のきっかけは1件の不正な退会処理
- 23万件が漏えいしたECサイト不正アクセス ― パスワードのハッシュ化では守れないもの
- フィッシング詐欺とは？ 手口・見分け方・対策・被害時の対応まで完全ガイド
- パスキーとFIDO2 完全ガイド ― パスワードを卒業する認証が、AI時代のフィッシングをどう無力化するか
Omamori AI の結論
- 事実: 物語コーポレーションは10月5日、焼肉きんぐ公式アプリの会員管理システムへの不正アクセスで、1,078万8,963件の会員番号・登録名・メールアドレス・電話番号が漏えいしたと公表した。パスワードと決済情報は含まれず、侵入経路は調査中である。
- 判断軸: 会員管理システムに入られると全件が持ち出される前提で、「何を持っているか」と「大量の読み出しに気づけるか」を確かめる。
- 打ち手: 会員は偽の連絡に乗らない。運営企業は保存する項目の削減、大量読み出しの監視、開発会社との責任範囲の確認を行う。
経営者視点で考えるべきこと
会員アプリは販促の道具として導入されることが多く、セキュリティの責任者が決まっていないまま会員数だけが増えていく。経営者が確認したい点は3つある。自社の会員アプリに何万人分、どんな情報が入っているかを、社内の誰かが答えられるか。その情報を全部持ち出されたとき、会員への連絡、問い合わせ対応、当局への報告にかかる費用と人手を見積もったことがあるか。開発会社との契約に、監視と事故対応の範囲が書かれているか。会員数が多いほど、1回の漏えいが会社の信用に与える影響は大きくなる。集める情報を減らすことは、費用のかからない対策の一つである。
