Signal
📡 Signal｜バーガーキング、公式アプリ会員約 1,118 万件の情報が漏えい
ビーケー・ジャパンが10月15日、バーガーキング公式アプリの会員情報約1,118万件の漏えいを公表。10月2〜7日の不正アクセスで氏名・電話番号・生年月日などが漏れた。カード番号は対象外。
バーガーキングを国内で運営するビーケー・ジャパンは10月15日、公式アプリの会員情報約 1,118 万件が、第三者の不正アクセスによって外部に漏えいしたと発表した。不正アクセスは10月2日から7日にかけて行われ、13日に漏えいが判明した。漏れたのは会員 ID、メールアドレス、氏名 (漢字・カナ)、電話番号、生年月日、性別、都道府県などで、クレジットカード番号は同社が保持していないため対象外としている。
ここ数日、国内では会員情報の大規模な漏えいの発表が続いている。今回の特徴は、氏名・電話番号・生年月日・メールアドレスが一つの記録にそろって漏れたことだ。本人になりすます偽の連絡を、個人に合わせて作りやすくなる組み合わせで、利用者が身構えるべきは不正利用そのものより、それを装った次の連絡になる。
漏れた項目と、漏れていないもの
同社の「お詫びとお知らせ」によると、漏えいした会員情報は次のとおりだ。
- 会員 ID、メールアドレス、登録種別、都道府県、性別、生年月日
- 氏名 (漢字・カナ)、電話番号
- モバイルオーダーの利用履歴の有無、メールアドレス認証の有無
クレジットカード番号は保持しておらず漏えいしていない。ログインパスワードの漏えいは「現在確認されておりません」としている。現時点で、不正利用などの二次被害は確認されていないという。
モバイルオーダーの履歴は「有無」だけで、何を注文したかの中身は項目に入っていない。一方、氏名と生年月日と電話番号が同じ記録にあるため、漏えいの規模の大きさに加えて、1 件ごとの情報の濃さが重い。
経緯と、まだ分からない原因
同社は、会員情報を管理するシステムへの不正アクセスの可能性を確認して調べた結果、10月2日 (金) から7日 (水) にかけて不正アクセスが行われていたことが13日 (火) に判明したと説明している。把握した後、直ちに通信元からのアクセスを遮断した。
対応として、通信の遮断、暫定の対策、対策本部の設置、個人情報保護委員会への報告を済ませた。恒久的な対策、外部の専門機関と連携した調査、対象の会員へのメールでの案内は順次進めている。
不正アクセスが可能になった経緯と詳しい原因は、外部の専門機関と調べている途中で、公表されていない。最後の不正アクセスから判明まで 6 日、判明から公表まで 2 日がかかった。
同じ週に重なった大規模な漏えい
同じ週には、ソフトウェア販売のソースネクストが、会員向けの API (外部からデータを取り出す窓口) を悪用され、2,251 万件が流出した可能性を公表した (既報)。ブックオフも、退会した会員を含む 638 万人の漏えいを確定させている (既報)。
いずれも、店舗やサービスを使うために登録した会員の情報が、運営会社の側にまとまって置かれていた。利用者の側からは、どの会社に何を預けたかが見えにくい。アプリの会員になる時に入れた生年月日や電話番号が、何年も後に漏えいの対象として戻ってくる構図が、この 1 週間で続いた。
利用者が確かめること
同社は、自社や自社のサービスを装った不審なメール、SMS、電話に注意し、URL を開いたり、会員情報やパスワードを入力したりしないよう呼びかけている。対象の会員にはメールで案内するとしており、そのメール自体を装った偽物が出回る可能性もある。案内を受け取ったら、メール内のリンクではなく、公式アプリや公式サイトから内容を確かめるのが安全だ。
パスワードの漏えいは確認されていないが、同じパスワードを他のサービスでも使っている場合は、それぞれ変えておくと、次の被害の連鎖を断てる。
次に見るもの
確認先は、バーガーキング公式サイトのお知らせ欄に出る続報だ。不正アクセスが可能になった経緯 (原因) と、ログインパスワード情報の漏えいの有無が確定するかを見る。問い合わせは同社のカスタマーサービス (平日 10 時〜17 時) が受け付けている。
ことば
- 不正アクセス — 権限のない第三者が、他人の ID やシステムの弱点を使ってサーバや管理画面に入り込むこと。今回は会員情報を管理するシステムが対象になった。
- 二次被害 — 漏えいした情報を使って後から起きる被害。偽のメールや SMS で本物のパスワードやカード情報を入力させる詐欺が代表的だ。
- 個人情報保護委員会 — 個人情報の取り扱いを監督する国の機関。漏えいが起きた事業者は報告を求められ、ビーケー・ジャパンも報告を済ませた。
🔗 一次ソース
