バーガーキング1118万件漏えい｜企業が学ぶ顧客情報の守り方

バーガーキングの公式アプリで、約1,118万件の会員情報が漏えいしたことが公表されました。

2026年10月15日、国内でバーガーキングを運営する株式会社ビーケー・ジャパンは、公式アプリの会員情報を管理するシステムが第三者による不正アクセスを受けたと発表しました。

氏名、メールアドレス、電話番号、生年月日などが漏えい対象に含まれています。一方、クレジットカード番号は同社で保有しておらず、ログインパスワードの漏えいも公表時点では確認されていません。

このニュースで企業の経営者に考えてほしいのは、「自社が預かる顧客情報が漏えいしたとき、何を確認し、誰に、どのように連絡するのか」という問題です。

この記事では、今回の公表内容を整理し、利用者が注意したいことと、企業が今日から確認できる情報管理・事故対応の具体策を解説します。

※以下の事故に関する記述は、2026年10月15日の公表内容および同日時点の報道に基づきます。原因など調査中の事項は断定していません。

1. バーガーキングで何が起きたのか

2026年10月15日、株式会社ビーケー・ジャパンは、バーガーキング公式アプリの会員情報を管理するシステムが第三者による不正アクセスを受け、会員情報約1,118万件が外部に漏えいしたと発表しました。

対象は公式アプリの会員情報であり、店舗の決済システム全体が侵害されたと公表されたわけではありません。

同社は不正アクセスを把握した後、該当する通信元からのアクセスを遮断するなどの対応を行い、外部の専門機関と連携して原因調査を進めていると説明しています。

この事案を考えるうえで重要なのは、発表された事実と、まだ分かっていないことを区別することです。

2. 不正アクセスから公表までの経緯

同社は、該当する通信元からのアクセス遮断、対策本部の設置、個人情報保護委員会への報告などを行ったと説明しています。

ただし、不正アクセスを最初に検知した正確な日時や、攻撃の具体的な侵入経路は、この公表内容だけでは特定できません。

3. 漏えいした情報と漏えいしていない情報

今回、漏えい対象として公表された情報は次のとおりです。

「モバイルオーダー履歴の有無」とは、利用履歴が存在するかどうかを示す情報です。注文した商品や購入日時などの詳細な履歴が漏えいしたと確認されたわけではありません。

また、パスワードの漏えいが確認されていないことと、将来にわたって一切の悪用リスクがないことは同じではありません。

4. 約1,118万件という数字の意味

公表されているのは、公式アプリの会員情報約1,118万件という数字です。

この数字を、そのまま「1,118万人の個人が被害に遭った」と読み替えることは適切ではありません。件数と重複を除いた人数が一致するとは限らないためです。

企業が情報漏えいを公表するときは、対象レコード数、対象人数、情報の種類などを可能な限り区別して説明する必要があります。

5. 原因と二次被害はどこまで分かっているか

ビーケー・ジャパンは、第三者による不正アクセスがあったと説明しています。

一方、不正アクセスが可能となった詳しい原因については、外部の専門機関と連携して調査中としています。

現段階で、特定の脆弱性、委託先、内部関係者、攻撃グループなどが原因だったと断定する根拠はありません。

また、10月15日の公表時点では、不正利用などの二次被害は確認されていないと説明されています。

確認されていないことを「絶対に発生しない」と言い換えないことが、正確な情報提供では重要です。

6. アプリ利用者が注意したいこと

今回の情報漏えいを受け、同社はバーガーキングや同社サービスを装った不審なメール、SMS、電話に注意するよう呼びかけています。

利用者が実行できる対策は次のとおりです。

• 不審なメールやSMSのURLを開かない
• 心当たりのない添付ファイルを開かない
• メール経由の画面でパスワードや会員情報を入力しない
• 公式のお知らせは、検索やブックマークから公式サイトへアクセスして確認する
• 不審な連絡を受けた場合は、公式窓口で確認する
• 他のサービスでも同じパスワードを使っている場合は、使い回しを見直す

漏えいした氏名やメールアドレス、電話番号などを悪用し、本人が信用しやすい連絡を送ることは一般的に考えられるリスクです。ただし、今回の事案でそのような悪用が実際に発生したと断定するものではありません。

7. 企業が確認したい顧客情報の保有状況

今回の事案から、中小企業がまず確認したいのは「自社がどのような顧客情報を、どこに、どれだけ保管しているか」です。

例えば、次のような情報があります。

情報を集めること自体が目的になっていないか、改めて見直しましょう。

業務上不要な情報を収集・保持しないことは、万一の事故で影響を受ける情報を減らすことにつながります。

8. 不正アクセスを早く発見するための管理

情報を守るには、侵入を防ぐ対策と、異常に早く気づく対策の両方が必要です。

例えば、次のような管理が考えられます。

• 管理者アカウントを必要最小限にする
• 利用できる場合は多要素認証を導入する
• 不審なログインや大量の情報取得を監視する
• アクセス履歴の取得・保存状況を確認する
• システムの更新と脆弱性対策を継続する
• 異常を発見したときの連絡先を決める

なお、これらは一般的な企業向けの対策です。今回のバーガーキングの事故原因が、特定の設定不備だったと示すものではありません。

まずは、自社の顧客管理システムで「大量のデータが取り出された場合に、誰が気づけるか」を確認してみましょう。

9. 委託先・クラウドサービスの確認

顧客情報を保管するシステムを外部の会社に委託していても、利用企業として確認すべき事項があります。

• 顧客情報の保存先と管理責任の分担
• 管理者権限を持つ担当者
• 不正アクセスの監視体制
• ログの取得と保存期間
• 事故発生時の連絡手順
• 契約終了後のデータ削除・返却

ただし、今回のバーガーキングの事故が委託先経由で発生したと確認されたわけではありません。

一般的な委託先管理の確認事項として、関連記事クラウド事業者のリスクと企業が確認したいことも参考にしてください。

10. 情報漏えいが疑われた場合の初動対応

自社で顧客情報の漏えいが疑われた場合、慌てて原因を断定せず、事実確認と被害拡大防止を進めます。

1. 発見日時、対象システム、異常の内容を記録する
2. 必要に応じて不正な通信やアクセスを制限する
3. ログなどの調査に必要な証拠を保全する
4. 漏えいした可能性のある情報と対象範囲を整理する
5. 専門家・システム提供会社・社内責任者と連携する
6. 法令に基づく報告や本人通知の要否・期限を確認する
7. 確認済みの事実と調査中の事項を分けて説明する

個人情報保護委員会への報告や本人への通知は、個人情報保護法上の要件に応じて判断します。すべての事故が同一の手続きになるわけではありません。

社内の連絡体制については、関連記事サイバー事故の緊急連絡先を事前に準備する重要性も参考になります。

11. 顧客への通知と説明の準備

情報漏えいが発生した場合、企業は顧客に何を伝えるべきでしょうか。

状況に応じて、次の項目を整理しておくと説明しやすくなります。

今回のように氏名やメールアドレスなどが漏えいした場合は、事故に便乗した偽の通知にも注意が必要です。

企業は、顧客が本物の案内を確認できる公式の情報発信経路を明確にしておくことが重要です。

12. サイバー保険で確認したい補償

顧客情報の漏えいが発生すると、原因調査、法律相談、顧客への通知、問い合わせ対応など、さまざまな費用が生じる場合があります。

サイバー保険では、契約内容や事故状況によって、これらの費用や第三者への賠償責任などが補償対象となる場合があります。

ただし、すべての費用が自動的に補償されるわけではありません。

• 原因調査・フォレンジック費用
• 弁護士など専門家への相談費用
• 顧客への通知・問い合わせ対応費用
• 第三者への賠償責任
• 事故対応サービスの利用条件
• 免責金額・支払限度額
• 保険会社への事故通知期限

これらの補償は保険商品や約款によって異なります。

詳しくは、関連記事中小企業が知るべきサイバー保険の全貌と実務ポイントも参考にしてください。

13. 社長向けチェックリストと今日の一歩

• □ 自社が保有する顧客情報の種類を把握している
• □ 顧客情報の保存先と管理責任者が分かる
• □ 不要な情報を長期間保管していない
• □ 顧客情報へのアクセス権限を制限している
• □ 不審なアクセスを確認できる
• □ 委託先の事故時連絡先を把握している
• □ 調査に必要なログを保存できる
• □ 情報漏えい時の社内報告先が決まっている
• □ 顧客への通知手順を準備している
• □ サイバー保険の補償条件を確認している

今回のバーガーキングの事案は、大規模な会員情報の管理が、企業の重要な経営課題であることを改めて考えるきっかけになります。

しかし、これは大企業だけの問題ではありません。

顧客名簿、予約情報、問い合わせ履歴、取引先の連絡先などを持つ中小企業でも、情報管理と事故対応の準備が必要です。

今日の一歩は、自社の顧客情報がどこに保存され、誰がアクセスできるのかを一つの一覧にまとめることです。

【公式・参考資料】

• ビーケー・ジャパン：2026年10月15日付のお詫びとお知らせ（PDF）
• IPA：中小企業の情報セキュリティ対策ガイドライン
• 個人情報保護委員会