バーガーキングで会員情報約1,118万件流出｜中小企業の対策

2026年10月15日、バーガーキングを日本で運営する株式会社ビーケー・ジャパンは、公式アプリの会員情報を管理するシステムへの不正アクセスにより、会員情報約1,118万件が流出したと公表しました。

今回の事案では、氏名、メールアドレス、電話番号、生年月日などが流出したとされています。一方、同社はクレジットカード番号を保有しておらず、ログインパスワードの流出も現時点では確認されていないと説明しています。

会員アプリや顧客管理システムを利用する中小企業にとっても、顧客情報の保管範囲やアクセス権限、事故発生時の連絡体制を見直すきっかけとなる事案です。

1．バーガーキングで何が起きたのか

Security NEXTの報道およびビーケー・ジャパンの公表によると、公式アプリの会員情報を管理するシステムに対し、2026年10月2日から7日にかけて不正アクセスが行われました。10月13日に会員情報の流出が判明し、同社は10月15日に公表しました。

流出したのは、公式アプリの会員情報約1,118万件です。原因や不正アクセスに至った詳しい経緯は、外部の専門機関と連携して調査中とされています。

流出した情報

• 会員ID、メールアドレス
• 氏名（漢字・カナ）、電話番号
• 生年月日、性別、都道府県
• 登録種別
• モバイルオーダー履歴の有無、メールアドレス認証の有無

同社は、クレジットカード番号を保有していないため流出しておらず、ログインパスワードの流出も公表時点では確認されていないと説明しています。また、不正利用などの二次被害も公表時点では確認されていません。

詳細はバーガーキング公式サイトのお知らせから、2026年10月15日付の「不正アクセスによる公式アプリ会員情報漏えいに関するお詫びとお知らせ」を確認してください。

2．パスワードが流出していなくても注意が必要

氏名、電話番号、メールアドレス、生年月日などの情報が組み合わさると、企業やサービスを装った不審なメール、SMS、電話に悪用される可能性があります。

たとえば、実在するサービス名を使い「アカウントの確認が必要」「ポイントの有効期限が近い」などと案内し、偽サイトへ誘導する手口が考えられます。今回の事案でそのような悪用が確認されたという意味ではありませんが、個人情報が流出した際には注意したいリスクです。

• メールやSMSのリンクを、送信元を確認せずに開かない
• 不審なページにパスワードや認証情報を入力しない
• 企業を名乗る電話で、本人確認情報を安易に伝えない
• 不審な連絡は、公式サイトなど別の経路から真偽を確認する

3．中小企業が確認したい顧客情報の管理

① 保有している情報の範囲を把握する

顧客管理システムや会員アプリに、どのような情報を保存しているか整理しましょう。氏名、住所、電話番号、メールアドレス、生年月日、購入履歴など、情報の種類と利用目的を把握し、業務上必要のない情報を保管し続けていないか確認します。

② アクセス権限を必要最小限にする

すべての従業員が、すべての顧客情報を閲覧できる必要があるとは限りません。業務上必要な人に必要な範囲の権限を付与し、退職者や異動者のアカウント、使われていないアカウントも定期的に確認しましょう。

③ 大量のデータ取得や不審なアクセスに気づけるようにする

システムのログが取得・保存されているか、異常なアクセスを誰が確認するかを決めておきます。顧客情報を一度に大量取得するような操作や、通常と異なる時間帯のアクセスなどを検知できるか、システムの運営会社にも確認しましょう。

4．事故発生時に誰が顧客へ連絡するか

情報漏えいが疑われた際、技術的な対応と並行して必要になるのが、社内の意思決定と顧客への案内です。連絡担当者が決まっていないと、説明が遅れたり、担当者によって内容が異なったりする可能性があります。

• 事故対応の責任者と判断者を決める
• システム運営会社や委託先の緊急連絡先を整理する
• 顧客への案内文を誰が確認・承認するか決める
• 問い合わせ窓口と対応記録の管理者を決める
• 必要に応じて専門家と、報告や本人通知の要否を確認する

発生直後は、確認できた事実と調査中の内容を分けて伝えることが重要です。原因や影響範囲が確定していない段階で、根拠のない説明をしないようにしましょう。

5．アプリや会員サービスの運営会社との連携

自社でシステムを開発していなくても、顧客情報を外部のサービスに預けている場合は、事故時の対応を確認しておく必要があります。

• 不正アクセスや情報漏えいが起きた際の連絡先
• 運営会社から自社へ通知される条件と連絡方法
• 影響するデータや対象顧客を確認する手順
• サービス停止時の代替手段と復旧時の連絡方法
• 事故対応の役割分担と、顧客への説明責任

契約書やサービス利用規約に事故時の報告条件が定められている場合もあります。契約担当者だけに任せず、実際に対応する担当者も連絡先と手順を把握しておきましょう。

6．サイバー保険で確認しておきたいこと

情報漏えい事故では、原因調査、外部専門家への相談、顧客への通知や問い合わせ対応、システム復旧などの費用が発生する可能性があります。ただし、事故の内容によって必要な対応や損害は異なります。

サイバー保険は、すべての事故や費用が自動的に補償されるわけではありません。補償対象となる事故、対象費用、支払限度額、免責金額、対象外となる条件、事故発生時の通知期限などを契約内容に沿って確認しましょう。

まとめ：保有データと顧客への連絡体制を確認する

バーガーキングの公式アプリでは、会員情報約1,118万件の流出が公表されました。原因の詳細は調査中ですが、今回の事案は、顧客情報の保管範囲やアクセス管理、事故時の顧客対応を見直す重要性を示しています。

中小企業でも、まずは「何の情報を保管しているか」「誰がアクセスできるか」「事故が起きたら誰が顧客へ連絡するか」の3点を確認することから始められます。

関連記事：中小企業のサイバー保険｜基本と実務上の確認ポイント、サイバー保険の比較で確認したいポイント、サイバー攻撃に備える事業継続と復旧訓練

出典：バーガーキング公式サイトのお知らせ、Security NEXT「アプリ会員の個人情報が流出、詳細を調査」