1,118万件。パスワードは無事でも、6日間に気づけなかった

• 対象は公式アプリ会員情報約1,118万件
• カード番号は保持しておらず、パスワードの漏えいも確認されていない
• それでも10月2日から7日の不正アクセスに気づいたのは13日

ビーケー・ジャパンが10月15日、バーガーキング公式アプリの会員情報漏えいを公表した。

同じ日に2,251万件の公表もあったが、中身は別物だ。混ぜずに読む。

公表されている内容

公式によれば、公式アプリの会員情報を管理するシステムが不正アクセスを受けた。

漏えいした項目

内容は次のとおりとされている。

会員ID、メールアドレス、登録種別、都道府県、性別、生年月日、氏名（漢字・カナ）、電話番号、モバイルオーダー履歴の有無、メールアドレス認証の有無。

そして、注記が2つ付いている。

• クレジットカード番号は当社で保持しておらず、漏えいしておりません
• ログインパスワード情報の漏えいは現在確認されておりません

書き方の違いに注意する

この2つは、強さが違う。

カードは「保持していない」。持っていないものは漏れないので、これは確定になる。

パスワードは「現在確認されておりません」。今の調査では見つかっていないという意味で、持っていないとは書かれていない。

疑えという話ではなく、確定と途中経過を区別して読むということだ。原因も「外部専門機関と連携し、現在調査を進めております」とされており、まだ途中になる。

6日と、11日

経緯で引っかかるのは日付だ。

• 不正アクセスが行われたのは10月2日から7日（6日間）
• 漏えいが判明したのは10月13日

つまり行われている最中の6日間は止まらず、終わってからさらに6日後に分かったことになる。始まりから数えると11日だ。

同じ形が続いている

前日に書いたソースネクストの件も、不正アクセスの開始が10月9日で、確認が13日だった。約4日ある。

どちらも、気づいてからの対応は速い。遮断は直ちに行われている。足りていないのは止める力ではなく、気づく力になる。

この秋の公表を並べた記事でも同じ傾向が出ていた。発見が遅れるほど、持ち出される量が増える。1,118万件という数字は、6日間ぶんの結果という見方ができる。

利用していた人がすること

パスワードが確認されていない以上、総入れ替えは不要だ。やることは絞られる。

1. メールでの案内を待つ。公式は対象者へ順次メールで案内するとしている
2. その案内を装った偽物に注意する。待っているところへ来るので通りやすい
3. 届いた連絡のリンクを使わない。アプリか公式サイトを自分で開く

公式も、こう呼びかけている。

不審な連絡を受け取られた場合は、URLへのアクセスや添付ファイルの開封、会員情報やパスワードの入力などを行わないようお願いいたします。

なぜ偽物が効いてしまうか

氏名・生年月日・電話番号・都道府県が揃っている。さらにモバイルオーダー履歴の有無まで出ている。

注文したことがある人に「ご注文について」と送れば、身に覚えがある状態で届く。心当たりがあるほど、確認したくなる。

この構造はアエナの件と同じだ。漏れた情報は、本物らしさを作る材料になる。

作る側が見るところ

原因が未公表なので手口は書けないが、6日間気づかなかったという事実から言えることはある。

1. いつもと違う量が出ていったとき、誰かに届くか — 記録があることと、見ていることは別
2. 1つの資格情報で取れる件数に上限はあるか — 無ければ全件が上限になる
3. 返す項目に、画面で使わないものが混ざっていないか — 返していない項目は取られない
4. 遮断する手順を、誰がいつでも実行できるか — 今回は把握後「直ちに」できている

1番目が核心になる。ログは取ってあるのが普通で、問題はそれを見る仕組みがあるかだ。異常の判定を後からの調査に任せている限り、気づくのは終わってからになる。

画面を通さず裏の仕組みを直接叩かれる形についてはA2B攻撃の記事にまとめた。1件ずつは正常に見えるので、回数と量でしか気づけない。

まとめ

• 対象は公式アプリ会員情報約1,118万件
• カード番号は保持しておらず漏えいなし。パスワードは現在確認されていない
• 「保持していない」と「確認されていない」は強さが違う
• 不正アクセスは10月2日から7日、判明は13日
• 遮断は把握後ただちに。足りないのは止める力ではなく気づく力
• 利用者は案内を待ちつつ、それを装った偽物に注意する
• モバイルオーダー履歴の有無まで出ているので、身に覚えのある文面が作れる

出典

• 株式会社ビーケー・ジャパン「不正アクセスによる公式アプリ会員情報漏えいに関するお詫びとお知らせ」（2026年10月15日／同社ニュース一覧に掲載のPDF）（事案の概要、不正アクセスの期間と判明日、対象件数、漏えいした会員情報の項目、カードとパスワードに関する注記、対応と再発防止策、利用者への注意喚起）

本記事は2026年10月15日時点で公表されている内容に基づく。原因は調査中とされているため、手口については本記事でも書いていない。本記事は法的な助言ではない。