「焼肉きんぐ」公式アプリに不正アクセス、なぜ登録者の9割を超す1078万8963件が流出したのか。パスワードが対象外だった理由を確かめる

まず初めに

1000万件超、しかも登録者の9割超という数字を見ると、もはや「一部の会員情報が」ではなく「ほぼ全員」と言ったほうが正確だ。焼肉きんぐのタレがどれだけ旨かろうと、会員アプリの守りがザルだったら元も子もない。幸い決済情報とパスワードだけは別管理で守られていたようだが、それを「幸い」と言わなければならない時点で、すでに十分な被害だ。※個人の感想です

何が起きているのか

物語コーポレーションは2026年10月5日、同社が展開する焼肉店「焼肉きんぐ」の公式アプリについて、会員情報を管理するシステムが第三者による不正アクセスふせいあくせすを受け、会員情報が外部に流出したと発表しました。不正アクセスが確認されたのは10月2日で、同社は通信の遮断など防御措置を講じましたが、翌10月3日に実際の会員情報の流出を確認したとしています。

流出した可能性がある情報は、会員番号、氏名(アプリに登録した名前)、メールアドレス、電話番号の4種類で、件数は1,078万8,963件に上ります。公式アプリの登録者数は約1,080万件とされており、登録者のほぼ全員、9割を超える規模が対象になった計算です。一方、ログインパスワード、生年月日、性別、郵便番号、保有ポイントを含む店舗の利用履歴、クレジットカードなどの決済情報は、この流出の対象には含まれていないとしています。

同社は、個人情報保護委員会への報告と、警察への被害届の提出を済ませたとしており、原因や不正アクセスが可能になった経緯については、10月5日時点でなお調査を続けているとしています。アプリ自体は防御措置を講じたうえでサービスの提供を継続しています。

なぜ重要なのか

今回の件が目立つのは、まず件数の規模です。1,000万件を超える個人情報が一度の事案で流出した可能性があるというのは、国内の外食産業がらみの情報漏えいとしてはかなり大きな規模にあたります。会員管理システムという、顧客との接点を支える基盤そのものが攻撃対象になった点も見逃せません。

もう一つの注目点は、ログインパスワードと決済情報が別の管理下にあったために対象外になった、という被害範囲の線引きです。システムを機能ごとに分けて管理しておくことが、被害の広がりを一定程度抑える効果を持つことを、今回の事例は示しています。

私たちへの影響

「焼肉きんぐ」の公式アプリに登録したことがある人は、会員番号・氏名・メールアドレス・電話番号が流出した可能性があります。ログインパスワードやクレジットカードなどの決済情報は対象外とされているため、これらの情報だけでアプリやネット通販などに不正ログインされたり、決済が行われたりする可能性は低いと考えられます。

ただし、氏名や電話番号、メールアドレスが漏れた可能性がある以上、これらの情報を使った迷惑電話や、焼肉きんぐやその運営会社をかたるフィッシングメール・SMSが届く可能性はあります。見覚えのない連絡先から、ポイントや会員情報の確認を求めるメールやSMSが来た場合は、本文中のリンクを安易に開かず、公式アプリや公式サイトから直接確認することをおすすめします。

初心者が知っておくべきこと

個人情報保護委員会こじんじょうほうほごいいんかいとは、個人情報を取り扱う企業や行政機関を監督する日本の独立した行政機関です。一定規模以上の個人情報漏えいが起きた場合、事業者はこの委員会への報告が義務付けられています。

会員管理システムとは、会員の氏名や連絡先、利用履歴などの情報を一括して管理するためのシステムのことです。アプリやポイントサービスの裏側で動いている基盤で、顧客サービスの根幹を担う一方、今回のように攻撃の標的にもなります。

Q. ログインパスワードは本当に大丈夫なのでしょうか。 A. 現時点で確認できた出典の範囲では、物語コーポレーションはログインパスワードを別のサーバーで管理しており、今回の流出の対象には含まれていないとしています。ただし、同じパスワードを他のサービスでも使い回している場合は、念のため変更しておくと安心です。

IT Postの見方――9割流出という数字は、もう「一部漏えい」とは呼べない

IT Postは、登録者の9割を超える1,078万件という規模は、個人情報漏えいというより、ほぼ会員データベースそのものが外部に渡ったに等しい事態だと考える。焼肉きんぐを展開する物語コーポレーションのような大手外食企業であっても、アプリの会員基盤を守りきれなかったという事実は重い。

一方で、パスワードや決済情報が別管理だったために対象外になった点は、被害の「上限」を抑えた数少ない救いだとIT Postでは考える。とはいえ、原因がまだ分からないまま調査中という状態は、再発防止策の実効性を判断するには時期尚早だ。IT Postは、原因が判明し再発防止策が示されるまで、この件を注視すべきだと考える。

今後どうなりそうか

物語コーポレーションは、不正アクセスの原因や経緯について調査を続けるとしています。現時点で確認できた出典の範囲では、調査の完了時期や再発防止策の具体的な内容は明らかになっていません。IT Postでは、原因の判明や追加の発表があれば、あらためて取り上げます。