世界的なファストフード大手バーガーキングの日本法人であるバーガーキング・ジャパンは、攻撃者が1,118万件の顧客データを保管するサーバーに不正アクセスしたと発表しました。大規模なデータ侵害にあたります。
バーガーキングは1953年に米フロリダ州で創業しました。現在は世界に2万店舗近くを展開する多国籍ファストフードチェーンで、日本国内にも350店舗があります。
バーガーキング・ジャパンは木曜日のプレスリリースで、10月13日に追加調査を完了したと明らかにしました。10月上旬にデータが盗まれ、オンライン上に流出したことについて、被害を受けた顧客に謝罪しています。
侵害を受けたサーバーには、公式スマートフォンアプリの利用者の個人情報が保管されていました。氏名、生年月日、性別、メールアドレス、電話番号、注文履歴が含まれます。
バーガーキング・ジャパンは次のように説明しています。「公式アプリの会員情報を管理するシステムに、第三者による不正アクセスの可能性があることを確認し、調査を行いました」（バーガーキング・ジャパンの発表）。
「その結果、2026年10月2日（金）から10月7日（水）にかけて不正アクセスが発生し、会員情報が漏えいしたことが、10月13日（火）に判明しました。不正アクセスを認識した後、ただちに該当の接続元からのアクセスを遮断しました」
一方、同社によると、侵害を受けたサーバーに顧客のクレジットカード番号は保管されていませんでした。攻撃者がユーザーの認証情報にアクセスした形跡も確認されていないといいます。
バーガーキング・ジャパンは今回の侵害を個人情報保護委員会（PPC）に報告しました。現在は外部のサイバーセキュリティ専門家の協力を得て、攻撃者がどのように該当サーバーへ侵入したのかも調べています。
同社は「お客様をはじめ関係者の皆様に、多大なるご迷惑とご心配をおかけしましたことを、心よりお詫び申し上げます」と述べています。さらに「現時点で、本件に起因する不正利用などの二次被害は確認されておりません」としています。
同社は、影響を受けた顧客に対し、バーガーキング・ジャパンをかたる不審なメール、SMS、電話にも注意するよう呼びかけました。URLのクリックや添付ファイルの展開、会員情報やパスワードの入力は避けるよう求めています。
今回の事案は、年初から日本の大手企業を相次いで襲っているサイバー攻撃の一つです。これまでに、エンターテインメントシステムメーカーの第一興商、クラウド・デジタルインフラ企業のIDCフロンティア、出版大手の日本経済新聞、私鉄の京王、カーシェアリングサービスのタイムズカー、クラウド・データセンター事業者のさくらインターネット、タクシー事業者の日本交通、通信大手のKDDIなどが被害を受けています。
マクニカの研究者である瀬治山豊氏は、今年発生した個人情報の窃取や流出を伴うサイバーセキュリティインシデントを119件記録しています。同氏の調査では、攻撃者は現在、WebサイトやAPIのアクセス制御、設定、認証の弱点を探り、既知（n-day）の脆弱性を悪用していることがわかりました。
