バーガーキングの会員情報漏えいはなぜ1118万件に? パスワードが無事でも偽メールや電話に注意すべき理由

2026年10月15日、ビーケー・ジャパンが公式アプリの会員情報漏えいを発表した。漏えいは約1118万件で、氏名や電話番号、生年月日が含まれる。パスワードは無事とされる中、なぜこの規模になったのかが議論されている。

クレジットカード番号もパスワードも漏れていないのに、なぜ「危ない」と言われるのか。そもそも、なぜ1000万件を超える情報が一度に外へ出てしまったのか。

• 不正アクセスは10月2日〜7日に続き、判明したのは10月13日だった
• 漏えいは約1118万件で、氏名・電話番号・生年月日・メールを含む
• カード番号は保持しておらず、パスワードの漏えいは確認されていない
• 侵入の手口と詳しい原因は、外部専門機関と調査中で公表されていない
• 10月5日には焼肉きんぐのアプリでも約1079万件の漏えいが発表された

6日間続いた不正アクセスの経過

まず、公式発表で確認できる時系列を整理する。ビーケー・ジャパンのお知らせによると、狙われたのは公式アプリの会員情報を管理するシステムだ。不正アクセスは10月2日（金）から7日（水）まで行われた。漏えいが判明したのは10月13日（火）で、発表は15日である。

同社は事実を把握した後、すぐに通信元からのアクセスを遮断した。対策本部を置き、個人情報保護委員会にも報告している。対象者へのメール連絡と恒久対策は、順次進めている段階だ。

漏えいした項目は多い。会員ID、メールアドレス、氏名（漢字・カナ）、電話番号、生年月日、性別、都道府県が含まれる。さらに登録種別、モバイルオーダー履歴の有無、メール認証の有無も出た。一方で、カード番号は同社が持っていないため漏れていない。ログインパスワードの漏えいも、今のところ確認されていない。

日本経済新聞や共同通信も、件数と項目を同じ内容で報じている。では、なぜ件数がここまで膨らんだのか。次はその仕組みを見ていく。

なぜ1118万件が一度に漏れたのか

答えの手がかりは、狙われた場所にある。攻撃者が入り込んだのは、一人ひとりのアカウントではない。会員全体の情報をまとめて管理するシステムそのものだ。

アカウントを1件ずつ乗っ取る手口なら、被害は数十件から数千件で止まりやすい。だが会員台帳の本体に入られると、そこにある記録をまとめて持ち出されるおそれがある。今回はアクセスが6日間続いた。大量のデータを抜き出す時間があったことになる。

同じ構図は、直前の焼肉きんぐの件でも見えている。物語コーポレーションの発表では、アプリ登録数1080万8784件のうち、1078万8963件が漏れた。登録者の99.8%にあたる。台帳ごと狙われると、ほぼ全員分が出てしまうことを示す数字だ。

ただし、バーガーキングの会員総数は公表されていない。どうやって侵入できたのかも、まだ明らかではない。だから「設定ミスが原因」などと決めつけることはできない。

会員基盤ごと狙われた例として、ソースネクストの会員情報流出が2251万件に広がった経緯も参考になる。あちらはパスワード再設定が必要になった。今回はパスワードが無事とされる点が違う。では、パスワードが無事なら安心してよいのか。

パスワード無事でも安心できない理由

注意したいのは、漏れた項目の組み合わせだ。氏名とメールと電話番号がそろえば、本人あての連絡が送れる。生年月日や都道府県まであれば、文面をもっと本物らしくできる。

たとえば「バーガーキングからのお詫び」を名乗り、本名入りでメールが届いたとする。モバイルオーダーを使ったことがある人なら、つい信じてしまうだろう。リンク先でカード番号や他サービスのパスワードを入れさせる。これがフィッシング詐欺の典型だ。

ビーケー・ジャパン自身も、同社を装った不審なメール、SMS、電話に注意するよう呼びかけている。URLを開かず、会員情報やパスワードも入れないよう求めている。

背景には、フィッシングそのものの多さがある。フィッシング対策協議会によると、2025年3月の報告件数は24万9936件で、当時の過去最高だった。偽メールを送る側にとって、本名と連絡先がそろった名簿は格好の材料になる。

カードやパスワードが無事でも、「本人に確実に届く連絡先」が漏れた意味は小さくない。この問題はバーガーキングだけの話でもない。

焼肉きんぐと続いた外食アプリの漏えい

2026年10月は、外食チェーンの公式アプリで大型の漏えいが続いた。焼肉きんぐの物語コーポレーションは10月2日に不正アクセスを確認し、5日に発表した。バーガーキングの不正アクセスも10月2日に始まっている。

時期は重なるが、2つの件を結びつける情報は、10月15日時点で出ていない。どちらも原因を調べている最中だ。

漏れた項目にも違いがある。焼肉きんぐは会員番号、氏名、メール、電話番号で、生年月日や性別は含まれないとした。バーガーキングは生年月日と性別まで含む。名簿としての情報量は、バーガーキングの方が多い。

なお、ビーケー・ジャパンは2024年10月にも、公式アプリの顧客情報の一部が不正アクセスで漏えいしたと発表している。

企業全体で見ても、大型の漏えいは増えている。東京商工リサーチによると、2025年に上場企業とその子会社が公表した漏えい・紛失事故は180件だった。漏えい人数は3063万6910人分で、前年の約2倍になった。100万人以上の大型事故は6件ある。原因で最も多いのは「ウイルス感染・不正アクセス」の116件で、全体の64.4%を占めた。

今回の2件だけで、合計はおよそ2200万件にのぼる。読者が気になる疑問を、次にまとめて答えていく。

よくある質問

Q. 自分が漏えいの対象かどうかは、どう確かめればよい？

ビーケー・ジャパンは、対象の会員にメールで順次案内するとしている。問い合わせ先はカスタマーサービス（0120-945-630、平日10時〜17時）だ。案内を装った偽メールもありうるため、メール内のリンクではなく公式サイトで確かめると安全である。

Q. パスワードは変えたほうがよい？

同社は、ログインパスワードの漏えいは確認されていないと説明している。それでも、同じパスワードを他のサービスで使い回しているなら、見直しておくと安心だ。今後の調査で新しい事実が出る可能性もある。

Q. クレジットカード情報は漏れていない？

漏れていない。ビーケー・ジャパンはカード番号を自社で持っていないと説明している。ただし、カード番号を聞き出そうとする偽メールには注意が必要だ。

Q. 焼肉きんぐの漏えいと関係はある？

10月15日時点で、2つの件を結びつける公式の情報はない。不正アクセスの時期は重なるが、両社とも原因を調査中である。

Q. 原因はいつ明らかになる？

時期は示されていない。同社は外部の専門機関と連携して、侵入できた経緯と詳しい原因を調べているとしている。結果が出れば、改めて公表される見込みだ。

Q. お詫びや補償はある？

10月15日のお知らせには、補償やお詫びの品についての記載はない。今後の発表で示されるかどうかは、現時点ではわからない。

漏れたのは「本人に届く連絡先」だった

1118万件という規模になった理由は、会員情報をまとめて管理するシステムそのものに入られたことにある。台帳の本体を狙われると、ほぼ全員分が一度に出てしまう。焼肉きんぐの99.8%という数字が、その危うさを示している。

そして本当の危険は、漏れた後に来る。パスワードやカード番号が無事でも、本名と電話番号とメールがそろえば、本物らしい偽メールや電話が作れる。会員がまず守るべきなのは、「届いた連絡をすぐ信じない」という習慣だ。手口の全体像は、同社の調査結果を待つ必要がある。