【インシデント速報】2026年10月5日｜焼肉きんぐ1079万件・大起水産17万件・日経M365不正アクセス
公開
①10月5日、焼肉きんぐ（物語コーポレーション）で約1,079万件、大起水産で約17万件と、飲食チェーンの「公式アプリ会員データベース」を狙った大規模漏えいが相次いで公表された。②日本経済新聞社ではMicrosoft 365アカウントが乗っ取られ、約9,000件の不審メールが送信された。③狙われているのは本体サイトではなく「アプリの会員情報」と「クラウドの業務アカウント」。多要素認証（MFA）と委託先管理が、中小企業の現実的な防衛線になる。
焼肉きんぐ（物語コーポレーション）公式アプリに不正アクセス、約1,079万件の会員情報が漏えい
東証プライム上場の物語コーポレーションは2026年10月5日、焼肉食べ放題チェーン「焼肉きんぐ」の公式アプリ会員管理システムが第三者による不正アクセスを受け、約1,078万8,963件の個人情報が漏えいした可能性があると公表した。登録会員約1,080万人のうち、ほぼ全会員分に相当する規模である。
漏えいしたおそれがあるのは、会員番号・氏名（アプリ登録名）・メールアドレス・電話番号。一方で、ログインパスワード、生年月日、性別、郵便番号、保有ポイント、店舗利用履歴は対象外とされ、クレジットカード情報はアプリ上で保有していない。金銭被害に直結しにくい項目とはいえ、氏名とメール・電話がそろって流出すれば、本人になりすましたフィッシングや詐欺電話の格好の材料になる。
時系列は、10月2日に不正侵入を確認、10月3日に漏えいの事実が判明、その後に通信の遮断など防御措置を実施した。侵入経路は現在もアプリ開発会社・関係会社とともに調査中で、確定していない。同社は個人情報保護委員会への報告と警察への被害届提出を進め、問い合わせ用の専用コールセンターを設置して対応にあたっている。
中小企業への影響
自社やグループで『公式アプリ』『会員サイト』を運営している場合、本体のコーポレートサイトを固めていても、会員DBが突破されれば一度に全顧客分が流出する。しかも開発を外部に委託していると、侵入経路の特定すら自社だけでは進められず、公表と対応が後手に回りやすい。『ほぼ全会員分』という規模は、平時からの件数把握とログ保全ができていなかったことの裏返しでもある。
推奨対応
- 自社アプリ・会員システムの管理者アカウントに多要素認証（MFA）を必須化し、長期間使っていない管理IDは棚卸しして削除する
- 開発・運用を委託している会社に対し、アクセスログの保存期間・不正アクセス検知の仕組み・緊急時の連絡体制を書面で確認する
- 『どの会員情報を、どのシステムに、何件持っているか』を一覧化し、漏えい時に件数と範囲を即答できる状態にしておく
大起水産 公式アプリに不正アクセス、約17万5千人分の個人情報が漏えいのおそれ
回転寿司・鮮魚チェーンを展開する大起水産は2026年10月5日、公式アプリが第三者の手で侵害され、174,933人分（退会者を含む）の個人情報が漏えいしたおそれがあると公表した。対象は2024年11月1日から2026年9月15日までの間にアプリへ登録した利用者である。
漏えいのおそれがある情報は、氏名・電話番号・メールアドレスと、任意登録の住所・生年月日。クレジットカード情報は取り扱っておらず、パスワードは別サーバーで管理していたため、いずれも対象外としている。同社は現時点で、個人情報が実際に外部へ漏えいした事実および本件に起因する不正利用は確認されていないと説明している。
対応として、身に覚えのない不審なメール・SMS・電話への注意を呼びかけ、専用窓口を設置した。焼肉きんぐと同じ日に公表された、飲食チェーンの『公式アプリ会員データベース』が狙われた事案であり、攻撃者が業種を問わずアプリの顧客基盤を標的にしている実態がうかがえる。
中小企業への影響
『まだ実害は確認されていない』段階での公表は、裏を返せば被害範囲を確定しきれていないということでもある。中小の飲食・小売でも、販促のために導入した公式アプリやポイント会員の仕組みが、最も個人情報を集めた『穴』になりやすい。アプリを入り口に流出した氏名・連絡先は、来店客を狙った偽キャンペーンや不審な電話に悪用される危険がある。
推奨対応
- ポイント・クーポン目的で集めた会員情報も『個人情報』として扱い、保有件数と保管場所を把握する
- アプリ提供事業者（SaaS・開発会社）側のセキュリティ対策と、漏えい時の通知フローを契約前・契約中に確認する
- 利用者向けに『当社からのメール・SMSで、ID／パスワードやカード番号を聞くことはない』と平時から明示し、なりすまし被害を抑える
日本経済新聞社のMicrosoft 365が不正アクセス、約9,000件の不審メールを送信
日本経済新聞社は、社内で利用するMicrosoft 365アカウントが乗っ取られ、侵害されたアカウントから社内外へ約9,000件の不審（なりすまし）メールが送信されたと公表した（発生は9月30日ごろ）。送信先のメールアドレスや氏名、一部のメール内容が第三者に閲覧されたおそれがあるとしている。
同社ではこれ以外にも、Google Workspaceへの不正ログインで1,646人分、2025年にはSlackで約1万7千人分が流出した可能性が明らかになるなど、業務クラウドを狙った侵害が続いている（※現時点で、これらが同一の攻撃者や同じ侵入経路による一連の攻撃だったことを示す公式情報は確認されていない）。いずれも共通するのは、クラウド上の業務アカウント1つの乗っ取りが突破口になっている点だ。
対応として、侵害されたアカウントのパスワード変更と、メール送信先への注意喚起・個別連絡を進めている。アカウント1つの乗っ取りが、取引先や読者へのばらまきメールへ直結した典型例であり、『うちは守るほどの情報はない』という企業でも、乗っ取られたアカウントは攻撃の踏み台として確実に悪用される。
中小企業への影響
Microsoft 365やGoogle Workspaceは中小企業でも広く使われており、まさに同じ構図の被害が起こり得る。1人分のID・パスワードが盗まれるだけで、その人を装った請求書偽装メールや、取引先への不審メール大量送信につながる。『送っていないメールが自分の名前で出回る』状態は、取引先からの信用を一気に失わせる。
推奨対応
- Microsoft 365・Google Workspaceなど全クラウド業務アカウントで多要素認証（MFA）を必須にする
- 見覚えのない送信済みメールや大量送信、海外からのサインインがないか、管理者が定期的にサインインログを確認する
- アカウント乗っ取りを想定し、パスワード即時変更と関係先への注意喚起を『誰が・どの順で』行うか手順を決めておく
編集部まとめ
今日の3件に共通するのは、守りを固めた本体サイトではなく、顧客の『公式アプリ会員DB』と社員の『クラウドアカウント』が突破口になった点だ。会員情報は一度漏れれば回収できず、フィッシングや詐欺の標的リストになる。中小企業がまず着手すべきは、全業務アカウントへの多要素認証、アプリや会員システムを委託する開発会社のセキュリティ確認、そして『漏れた後に何件・いつ・どこからを追えるログ』の確保である。 多要素認証（MFA）や会員情報の守り方は、AND SECUREの過去記事でも実務目線で解説している。