バーガーキングの日本運営会社は、公式スマートフォンアプリに使用するサーバーへの不正アクセスにより、約1,118万件の顧客情報が流出したと公表した。同社によると、不正な活動があったのは10月2日から7日までで、10月13日に完了した調査でこの結論に至った。

対象となった情報には、アプリ会員の氏名、生年月日、性別、メールアドレス、電話番号、注文履歴が含まれる。同社は、侵害されたサーバーにはクレジットカード番号を保存していなかったと説明した。また、調査ではログイン認証情報にアクセスされた証拠は見つからなかったとしている。

同社の説明によると、侵入を検知した後、関与したアクセス元からの接続を遮断した。その後、外部のサイバーセキュリティ専門家に協力を求め、サーバーへの侵入方法の解明を進めた。運営会社は、この事案を日本の個人情報保護委員会に報告している。

同社は、発表時点では、流出した情報の不正利用などの二次被害は確認していないとした。ただし、この調査結果によって、連絡先やアカウントのプロフィール情報の流出がもたらすリスクがなくなるわけではない。氏名、メールアドレス、電話番号、購入履歴などの情報は、犯罪者がなりすましをより本物らしく見せるために利用できる。

このため同社は、対象となる顧客に対し、バーガーキングの日本運営会社を名乗るメール、SMS、電話に注意するよう呼びかけた。不審なリンクを開いたり、予期しない添付ファイルを開いたり、突然届いたメッセージに応じて会員情報やパスワードを入力したりしないよう求めている。

バーガーキングは、世界で約2万店舗を展開するチェーンの一部として、日本国内で約350店舗を運営している。ただし、今回流出した情報は、日本運営会社の公式アプリ利用者に関するものだった。

今回の事案は、決済カード情報の保存ではなく、アプリの会員システムに関わるものだ。この違いにより、直接的な金銭被害のリスクの一つは限定される一方、流出した個人情報に基づくフィッシングや、その他のソーシャルエンジニアリングの試みに顧客がさらされる可能性は残る。同社は、攻撃者が最初に利用した侵入経路をまだ公表しておらず、技術的な調査は続いている。

日本では今年、出版、交通、通信、デジタルインフラの分野で著名な組織によるサイバー被害の報告が相次いでおり、今回の公表はそれに続くものとなった。バーガーキングの日本運営会社は現在、アクセス方法の特定、規制当局への通知、二次的な詐欺に関する顧客への注意喚起を中心に対応を進めている。

顧客にとって実践的な予防策は、予期せず届いたバーガーキング名義の連絡を慎重に扱い、埋め込まれたリンクを使わずに自分で同社のサービスへアクセスすることだ。同社は、外部の専門家とともに不正アクセスの調査を継続するとし、顧客やその他の関係者に心配をかけたことを謝罪した。