サイバーセキュリティ

焼肉きんぐアプリ1079万件漏えい――流出情報と利用者が取るべき対策

物語コーポレーションは2026年10月5日、焼肉きんぐ公式アプリの会員管理システムが不正アクセスを受け、登録者のほぼ全員にあたる1078万8963件の会員情報が漏えいしたと発表しました。流出した情報と流出していない情報、想定されるフィッシング詐欺の手口、利用者が今日からできる対策を整理します。

claude

05 10月 2026 • 9 min read

焼肉チェーン「焼肉きんぐ」を運営する物語コーポレーション（愛知県豊橋市）は2026年10月5日、焼肉きんぐ公式アプリの会員管理システムが第三者による不正アクセスを受け、会員情報1078万8963件が漏えいしたと発表しました。アプリのユーザー登録数は1080万8784件で、その約99.8%、つまり登録者のほぼ全員が対象です。

流出したのは会員番号、氏名（アプリ登録名）、メールアドレス、電話番号の4項目です。パスワードや決済情報は含まれていませんが、「名前・メール・電話番号」がそろった1000万件超のリストは、フィッシング詐欺やなりすまし電話の材料になります。本記事では、発表内容を整理したうえで、利用者が何に気をつければよいのか、そして飲食店アプリで相次ぐ情報漏えいの背景を解説します。

焼肉きんぐ公式アプリの不正アクセス、発表までの経緯

物語コーポレーションの発表によると、経緯は次のとおりです。

10月2日（金）：焼肉きんぐ公式アプリの会員管理システムで、第三者からの不正アクセスを確認。通信遮断と防御措置を実施
10月3日（土）：会員情報が漏えいしていたことを確認
10月5日（月）：公式サイトでの「お詫び」と適時開示により公表

同社は、外部からの不正アクセスに対する防御措置を講じたうえで、アプリのサービス提供を継続しています。「丸源ラーメン」など同社が運営する他ブランドの公式アプリについても同様の措置をとっており、そちらでは情報漏えいは確認されていないとしています。

原因と、不正アクセスが可能になった経緯は調査中です。現時点で同社が明らかにしているのは「第三者による不正アクセスによるもの」という点までで、具体的な侵入経路や手口は公表されていません。同社は開発会社・関係会社と協力してセキュリティ対策と監視体制を強化するとともに、個人情報保護委員会への報告と警察への被害届の提出を進めています。

漏えいした情報と、漏えいしていない情報

今回の発表で重要なのは、「何が流出し、何が流出していないのか」がはっきり示されている点です。

区分	項目
漏えいした情報	会員番号、氏名（アプリ登録名）、メールアドレス、電話番号
漏えいしていない情報	ログインパスワード、生年月日、性別、郵便番号、保有ポイントを含む店舗利用履歴
そもそも保持していない情報	クレジットカードなどの決済情報

件数は、ユーザー登録数1080万8784件のうち1078万8963件です。発表時点で、漏えいした情報が不特定多数に公開された事実や、不正利用された事実は確認されていないといいます。

なお、今回の公表は「漏えいの可能性」ではなく、漏えいを確認したという内容です。一方でパスワードは対象外のため、この件だけを理由にアプリのアカウントが乗っ取られると考える必要はありません。警戒すべきなのは、流出した連絡先を使った「二次被害」です。

氏名・メール・電話番号だけで何が起きるのか

「カード情報もパスワードも漏れていないなら大丈夫」と考えがちですが、氏名・メールアドレス・電話番号の組み合わせは、詐欺を仕掛ける側にとって十分に使える情報です。物語コーポレーション自身も、なりすましメールやフィッシング詐欺などに悪用されるおそれがあるとして注意を呼びかけています。

セキュリティ専門メディアなどが想定される手口として挙げているのは、次のようなものです。

「お詫びのクーポンを配布します」「補償手続きのご案内」といった名目で偽サイトへ誘導するメールやSMS
「本人確認のため再ログインしてください」「会員情報の再登録が必要です」とパスワードの入力を求める連絡
「保有ポイントの保護手続きが必要」と不安をあおる連絡
氏名を名乗ったうえでかかってくる、関係者を装った電話

相手が自分の氏名や電話番号を知っていると、人は正規の連絡だと思い込みやすくなります。実在の情報で信用させる手口は、ソーシャルエンジニアリングと呼ばれます。また、流出した連絡先は焼肉きんぐを装う詐欺に限らず、宅配事業者や金融機関、通販サイトなど別の組織を名乗る詐欺に使われる可能性もあります。

利用者が今日からできる対策

焼肉きんぐ公式アプリに登録している、または過去に登録した覚えがある人は、次の点を押さえておくと安心です。

メールやSMSのリンクを直接開かない：焼肉きんぐや物語コーポレーションを名乗る連絡でも、記載されたURLは開かず、公式アプリや公式サイトから情報を確認する
パスワードやカード情報を入力・回答しない：同社は「当社からパスワードやクレジットカード情報等をお伺いすることはございません」と明言している。求められた時点で偽物と判断してよい
電話でも追加の個人情報を伝えない：氏名を言い当てられても正規の連絡とは限らない。SMS認証コードや暗証番号は伝えない
身に覚えのない添付ファイルを開かない
不安な場合は公式窓口に確認する：公式アプリ専用コールセンター（0120-795-775、受付10時〜18時、土日祝日を含む）が設置されている

勤務先のメールアドレスで登録していた場合は、会社宛てに届く不審メールにも注意が必要です。会社のメールアドレスが漏えいしたこと自体は、その企業のシステムが侵害されたことを意味しません。ただし、企業ドメインと氏名の組み合わせは、社内担当者を装う標的型メールの材料になり得ます。

飲食・小売アプリで相次ぐ会員情報の漏えい

今回の件は単独の出来事ではありません。この1週間ほどの間に、店舗アプリの会員情報をめぐる公表が続いています。

セイコーマート：スマートフォンアプリのサーバーを経由した不正アクセスにより、57万2022人分の会員情報が第三者に閲覧されたと9月30日に発表。全会員の49%にあたる
大起水産：10月5日、「大起水産公式アプリ」のシステムが不正アクセスを受け、退会者を含む17万4933人の個人情報が漏えいした可能性があると発表
パーク24（タイムズカー）：9月28日、Webシステムへの不正アクセスにより約660万アカウントの情報が第三者に取得されたと発表

来店予約、クーポン、ポイントといった機能を持つ公式アプリは、いまや外食・小売チェーンの標準装備です。焼肉きんぐのアプリ登録数が1080万件を超えていたことが示すように、身近な店舗アプリの裏側には、巨大な会員データベースが存在します。決済情報を持たないアプリであっても、連絡先の一覧というだけで狙われる価値があるということです。

では、相次ぐ被害はAIによる攻撃の高度化が原因なのでしょうか。アスキーの取材に対し、国立情報学研究所の高倉弘喜教授は、最近の企業被害について「攻撃の自動化にAIが使われたとは思いますが、大きな役割は果たしていなかった。言い換えると、対策が不十分だったと考えています」と述べています。一方で、公開された脆弱性に対する攻撃ツールが短時間で作られるようになり、攻撃が高速化していることは確かだといいます。同氏が重要性を強調するのは、ひとつの防御が破られても次で止める「多層防御」です。

企業の対応と今後の焦点

今後の焦点は大きく3つあります。

1つ目は、原因の究明と公表です。侵入経路が脆弱性なのか、認証情報なのか、設定の不備なのか、あるいは委託先なのかは、まだ分かっていません。公式の調査結果が出るまでは、原因を断定できない段階です。

2つ目は、二次被害の有無です。現時点で情報の公開や不正利用は確認されていませんが、1000万件を超える連絡先リストが第三者の手に渡ったことは事実です。フィッシングの動きが出てくるかどうかは、今後しばらく注視する必要があります。

3つ目は、他社への波及です。同様の会員管理の仕組みを持つ店舗アプリは数多くあります。保持する情報を必要最小限にする、パスワードや利用履歴を連絡先と分けて管理するといった設計の見直しが、業界全体の課題になりそうです。今回、パスワードや生年月日、利用履歴が漏えい対象に含まれなかったことは、被害の深刻度を抑える要因になりました。

よくある質問

焼肉きんぐのアプリで漏えいした情報は何ですか

漏えいしたのは、会員番号、氏名（アプリ登録名）、メールアドレス、電話番号の4項目です。件数は1078万8963件で、アプリのユーザー登録数1080万8784件のほぼ全てにあたります。

パスワードやクレジットカード情報は漏えいしましたか

物語コーポレーションによると、ログインパスワード、生年月日、性別、郵便番号、保有ポイントを含む店舗利用履歴は漏えいしていません。クレジットカードなどの決済情報は、同社がそもそも保持していないと説明しています。

焼肉きんぐのアプリ利用者は何をすればよいですか

焼肉きんぐや物語コーポレーションを名乗るメール、SMS、電話に注意し、身に覚えのないリンクや添付ファイルを開かないことが基本です。同社がパスワードやクレジットカード情報を尋ねることはないため、求められた場合は応じず、公式アプリ専用コールセンター（0120-795-775）で確認してください。

不正アクセスの原因は分かっていますか

2026年10月5日の発表時点では、原因と不正アクセスが可能になった経緯は調査中です。第三者による不正アクセスであることは確認されていますが、具体的な侵入経路や手口は公表されていません。

丸源ラーメンなど他ブランドのアプリは大丈夫ですか

物語コーポレーションは、同社が運営する他ブランドの公式アプリについても同様の防御措置を講じており、情報漏えいなどの事実は確認されていないとしています。

まとめ

焼肉きんぐ公式アプリの会員管理システムが不正アクセスを受け、会員情報1078万8963件（登録者の約99.8%）が漏えいした
流出したのは会員番号・氏名・メールアドレス・電話番号。パスワード、生年月日、利用履歴は対象外で、決済情報は同社が保持していない
10月2日に不正アクセスを確認、3日に漏えいを確認、5日に公表。原因は調査中
利用者にとっての現実的なリスクは、流出した連絡先を使ったフィッシング詐欺やなりすまし電話
リンクを直接開かない、パスワードやカード情報を答えない、公式窓口で確認する、の3点が基本の対策

身近な店舗アプリほど、登録したこと自体を忘れがちです。今回の件を機に、使っていないアプリの会員登録を見直し、「自分の名前を知っている相手＝本物」とは限らないという前提で、届く連絡を一呼吸おいて確かめる習慣をつけておきたいところです。