- バーガーキング・ジャパンが、モバイルアプリ基盤の顧客情報1,118万件に影響する情報漏えいを公表
- 流出したのは個人情報と注文履歴で、決済情報は侵害されていない
- 同社は不正利用を確認しておらず、侵入の原因を調査しながら規制当局に報告済み
バーガーキングの日本法人が、情報漏えいの被害に遭ったことを認めました。数百万人規模の顧客の機微な情報が失われたとして、謝罪しています。
バーガーキング・ジャパンは情報漏えいに関するお知らせの中で、漏えいが起きた正確な日付と、盗まれたデータの内容を明らかにしました。
同社はお知らせで次のように説明しています。「当社公式アプリの会員情報を管理するシステムに対し、第三者による不正アクセスの可能性を把握し、調査を実施しました。その結果、2026年10月2日（金）から10月7日（水）にかけて不正アクセスが発生し、会員情報が漏えいしたことが、2026年10月13日（火）に判明しました。不正アクセスを認識した後、問題の接続元からのアクセスを直ちに遮断しました」
ロシアでの事例との共通点
調査の結果、1,118万件の顧客情報が盗まれたことが判明しました。大半は、同社の公式スマートフォンアプリの利用者のデータです。
流出したのは、氏名、生年月日、性別、メールアドレス、電話番号、注文履歴です。クレジットカードなどの決済情報は漏えいしていません。しかし、個人を特定できる情報（PII）だけでも、巧妙なフィッシングメールを送りつけるには十分です。ビジネスメール詐欺（BEC）やマルウェア、さらにはランサムウェア攻撃へと発展するおそれもあります。
バーガーキング・ジャパンは、現時点でデータが悪用された証拠はないと強調しました。また、今回の漏えいを個人情報保護委員会（PPC）に報告したことも明らかにしています。
同社は「お客様をはじめ関係者の皆様に多大なるご迷惑とご心配をおかけしましたことを、深くお詫び申し上げます」とした上で、「現時点で、本件に起因する不正利用などの二次被害は確認されておりません」と述べています。
バーガーキングの魅力は料理だけではないようです。サイバー犯罪者も、同社に侵入してデータを盗むことを好んでいます。たとえば2024年には、ロシアのバーガーキングが情報漏えいの被害を受けました。犯行は正体不明の攻撃者によるもので、今年9月下旬にそのデータがオンライン上に流出しています。
2024年10月、バーガーキングは現地メディアに対し、同社が利用していたロシア国内のマーケティング自動化プラットフォーム「Mindbox」への攻撃について説明しました。攻撃者はMindbox経由で、顧客情報を含む同社の機微なデータを入手したとされます。
同社は当時、「攻撃の被害者の中には、バーガーキングのレストランチェーンの顧客データが含まれている可能性があります」と述べていました。さらに「精査中の個人データの中に、決済情報は含まれていません。取引に関する公開情報は、第三者に送信も保存もされていません」とも説明しています。
日本の事例と同様に、ロシアの事例でも、攻撃の詳細や手口は明らかにされませんでした。サードパーティを狙ったサプライチェーン攻撃はよくある手口で、同じツールを使う多数の企業に影響して大きな混乱を招くことも少なくありません。ただしMindboxについては、ほかに被害者がいたという報告はありません。
サプライチェーン攻撃
Mindboxは2024年の業績発表で、この攻撃を「初めての深刻な情報セキュリティインシデント」と位置づけました。「脅威検知ツールのおかげで」素早く検知し、封じ込めたとしています。
情報漏えいを受けてMindboxは、「機密データへのアクセス権限を持たない従業員が、間接的にそれらを入手できてしまう箇所を発見し、解消した」と説明しました。このことから、攻撃はゼロデイ脆弱性の悪用ではなく、実際には認証情報（ID）を狙った攻撃だった可能性がうかがえます。
同社はまた、「こうした箇所が製品に組み込まれる前に見つけられるよう、開発プロセスを変更した」としています。Mindbox社内のロールシステムも見直し、権限をより厳格かつ細分化しました。このほかにも、プロジェクトへのアクセスシナリオを制限し、別の従業員がアクセスを承認する仕組みや、二要素認証の必須化などを導入しました。
さまざまな侵害で盗まれた情報を集約し、自分のメールアドレスなどが過去に漏えいしたかどうかを確認できるサイト「Have I Been Pwned?」には、バーガーキング・ロシアは登録されています。一方、バーガーキング・ジャパンは登録されていません。
