バーガーキング・ジャパンで情報漏えい、会員1,118万件の情報が流出

バーガーキング・ジャパンは、約1,118万件の会員情報に影響する情報漏えいが発生したことを認めました。氏名、メールアドレス、電話番号などの顧客情報が流出しています。

日本でファストフードチェーンを運営するBK Japanによると、第三者が10月2日から10月7日にかけて、同社の会員情報システムに不正にアクセスしました。同社は10月13日に顧客情報の漏えいを確認し、昨日この事案を公表しました。

流出した情報には、氏名、メールアドレス、電話番号、生年月日、性別、会員ID、居住する都道府県が含まれます。このほか、登録区分、メールアドレスの認証状況、会員がモバイルオーダーを利用したかどうかといった項目も影響を受けています。

同社の発表によると、被害を受けたシステムにはクレジットカード番号は保存されていませんでした。ログインパスワードが漏えいした事実も確認されていないといいます。また、今回の事案による不正利用の被害も確認されていないと報告しています。

BK Japanは、不正アクセスの発信元と疑われる接続を遮断し、個人情報保護委員会に報告しました。さらに外部のサイバーセキュリティ専門家を招き、攻撃者がどのように侵入したのかを調査しています。ただし、最初の侵入手法や、情報漏えいの原因となった具体的な脆弱性については、公表していません。

顧客データが今も価値を持つ理由

決済カード番号が流出していないからといって、影響を受けた会員のリスクがなくなるわけではありません。氏名、生年月日、電話番号、メールアドレスがあれば、犯罪者は顧客になじみのある企業を装った、巧妙な詐欺を仕立てることができます。

HuntressのEMEA担当vCISO兼サイバーセキュリティアドバイザーであるMuhammad Yahya Patel氏は、今回の事案はデジタルのロイヤルティプログラムに伴うセキュリティ上の責任を浮き彫りにしていると指摘しました。

「ロイヤルティアプリは単なるマーケティングツールではありません。いずれ誰かが盗み出そうとする個人情報のデータベースです」と、Patel氏はeSecurity Planet（eSP）に語りました。

Patel氏は、流出した情報が攻撃者による巧妙なフィッシングメッセージの作成や、正規の企業へのなりすましに悪用されかねないと警告しています。また、ロイヤルティプログラムやモバイルオーダーのプラットフォームは、顧客との接点という本来の役割にとどまらず、セキュリティ上の責任も伴うと強調しました。大量の個人情報を保管している場合は、特にそうだといいます。

情報漏えいの背後にあるセキュリティ上の疑問

BK Japanは、攻撃者が会員システムに最初にどのような方法でアクセスしたのかを明らかにしていません。調査によって原因が特定されるまでは、どのセキュリティ対策が機能しなかったのかや、今回の侵入が同社のインフラ全体に潜むより広範な弱点を露呈させたのかどうかは、不透明なままです。

Black DuckのAPAC担当セキュリティエンジニアリング責任者であるKelvin Lim氏は、調査によって経緯が明らかになる前に憶測で語ることには慎重であるべきだと述べました。

「どの企業に対しても、まず確認したいことがあります。収集している顧客データが本当にすべて必要なのか、そのデータをどれだけの期間保管しているのか、そして誰がアクセスできるのかという点です」と、Lim氏はeSPに語りました。

同氏の指摘は、侵入の防止にとどまりません。Lim氏は、顧客情報がアプリケーション、API、クラウドサービス、サードパーティのシステムをまたいでどのように流れているのか、企業はその全体像を把握する必要があると述べています。さらにセキュリティテストでは、スキャンレポートの結果が良好であることを示すだけでなく、防御策が不正アクセスを実際に防げていることを確認しなければならないといいます。

BK Japanにとって、次の重要な節目は、情報漏えいがどのように起きたのかを説明し、再発を防ぐためにどのような変更を行うのかを示すことです。監視を強化すれば不審な活動を検知しやすくなる可能性はありますが、その効果は、調査によって根本的な弱点が特定され、対処されるかどうかにかかっています。

影響を受けた会員が今すぐ取るべき対応

BK Japanは顧客に対し、同社を装った不審なメール、SMS、電話に注意するよう呼びかけています。あわせて、見覚えのないリンクをクリックしない、予期しない添付ファイルを開かない、不審なメッセージに従ってアカウント情報を入力しないよう求めています。

会員は、メールなどで一方的に届いたリンクを使わず、公式アプリや公式サイトからアカウントに関する通知を確認してください。カスタマーサポートを名乗る相手に、パスワード、支払い情報、認証コードを教えてはなりません。

ほかのサービスでアカウントのパスワードを使い回している場合は、特に認証情報が漏えいした疑いがあるなら、それらのサービスでもパスワードの変更を検討してください。BK Japanはパスワードの漏えいを確認していませんが、パスワードをサービスごとに別のものにしておけば、別のアカウントが侵害されても被害を抑えられます。

現時点で最大の未解明点は、攻撃者がどのように会員システムへアクセスしたのかという点です。BK Japanが調査を完了するまで、同社は盗まれた情報の不正利用を確認していないと報告しているものの、影響を受けた顧客は予期しない連絡に引き続き警戒する必要があります。

関連ニュース: 韓国の規制当局は、16の金融機関で情報漏えいが発生したことを確認しました。氏名、電話番号、本人確認情報など、約10万件の個人情報が流出しています。