「焼肉きんぐ」公式アプリに不正アクセス。会員1,078万8,963件の氏名・電話番号などが漏えい

01発表されている事実

1. 10月2日

   会員管理システムへの不正アクセスを確認。通信の遮断などの防御措置を実施。10月20日の発表では、攻撃は同日午前9時ごろに始まり、外部の第三者から繰り返し行われたとしている

2. 10月3日

   会員情報の漏えいを確認

3. 10月5日

   公表。個人情報保護委員会への報告と警察への被害届を進めている

4. 10月20日

   今後の強化策を公表

漏えいしたのは、会員番号、氏名（アプリの登録名）、メールアドレス、電話番号です。ログインパスワード、生年月日、性別、郵便番号、保有ポイント、店舗の利用履歴は漏えいしていないとしています。クレジットカードなどの決済情報は、同社がもともと持っていません。発表時点で、漏えいした情報の公開や不正利用は確認されていません。原因と侵入経路は調査中です。

10月20日の発表では、グループが運営する「焼肉きんぐ」を含む11の公式アプリで、新しい仕組みに移り、持つ情報を減らす方針を示しました。予定は2027年上半期で、移行後は氏名と電話番号を持たず、メールアドレスも将来的に持たない方向です。あわせて、監視の継続やAIを使った検知の検討を挙げています。

02読者への影響

パスワードは漏れていないため、アプリに勝手にログインされる心配は小さいと考えられます。一方で、氏名・メールアドレス・電話番号がそろって漏れています。この3つがあれば、本人の名前を入れた偽のメールやSMSを送れます。「ポイントの失効」「予約の確認」「漏えいのお詫びと補償」などをうたう連絡が届いても、本文のリンクから個人情報やカード番号を入れないでください。同社はパスワードやカード情報を尋ねることはないとしています。問い合わせは専用窓口（0120-795-775、土日祝含む10時〜18時）が案内されています。

03今すぐやること

1. 同社や焼肉きんぐを名乗るメール・SMSのリンクは開かない。確認はアプリか公式サイトから
2. 知らない番号からの電話で「漏えいの補償」などを持ちかけられても、その場で個人情報を答えない
3. 迷惑SMSが増えたら、携帯会社の迷惑メッセージ対策や迷惑電話対策のサービスを使う

04同じことを防ぐには（会員アプリを持つ店舗・企業）

アプリの会員管理は開発会社に任せていることが多く、侵入の入口がどこにあるか自社で見えにくい分野です。次の点を開発会社と確かめてください。

• 会員情報の管理画面やAPIが、インターネットから誰でも呼び出せる状態になっていないか
• 大量の会員情報が短時間に読み出されたら止まる・知らせる仕組みがあるか
• 使っていない項目を持ち続けていないか。持たない情報は漏れない
• 定期的な脆弱性診断とWAFの導入

図鑑では、Webアプリやスマホアプリの脆弱性診断と、WAFのサービスを比べられます。漏えいの後に増える偽の連絡への備えは「詐欺メール・迷惑電話」の入口にまとめています。