バーガーキングを運営するビーケー・ジャパンは10月15日、公式アプリの会員情報約1,118万件が外部に漏えいしたと公表した。10月2日から7日にかけて第三者の不正アクセスを受け、13日に判明したという。
漏れたのは氏名、電話番号、生年月日、メールアドレスなどで、クレジットカード番号は含まれない。カードの不正利用より、バーガーキングを名乗る連絡にどう構えるかが、会員の側に残る課題になる。
漏れたもの、漏れていないもの
同社の発表によると、漏えいした会員情報は次の10項目だ。
- 会員 ID、メールアドレス、登録種別
- 氏名 (漢字とカナ)、性別、生年月日、都道府県、電話番号
- モバイルオーダーの履歴があるかどうか、メールアドレスの認証が済んでいるかどうか
モバイルオーダーについては、何を注文したかではなく、履歴が「あるか、ないか」だけが対象になっている。
漏れていないとされるものもある。クレジットカード番号は同社がもともと持っておらず、漏えいしていない。ログインのパスワードは、いまのところ漏えいが確認されていない。発表の時点で、不正利用などの二次被害も確認されていないという。
原因について同社は、第三者による不正アクセスだと確認したうえで、それが可能になった経緯と詳しい原因は外部の専門機関と調べているとしている。通信元からのアクセスはすぐに遮断し、個人情報保護委員会へも報告した。
自分が対象かの見分け方
対象は公式アプリの会員だ。発表では約1,118万件という件数が示されているが、人数への数え直しや、退会した会員が含まれるかどうかは書かれていない。アプリに登録したことがあるなら、自分も入っていると考えて動くのが手堅い。
同社は対象者にメールで案内を順に送っているという。ただ、登録したメールアドレスを使わなくなっている人には届かない。メールが来ないことは、対象外の証拠にならない。
10月14日の記事「ブックオフ漏えいの対象は638万人、自分が入るかの見分け方」で見たブックオフは、会員カードだけの人を対象から外し、件数と人数を分けて示していた。バーガーキングの発表は第1報で、まだそこまで細かくない。続報で線が引かれるかどうかは、これからの発表次第だ。
電話番号と生年月日がそろうと
今回の漏えいで気をつけたいのは、名前と電話番号と生年月日が一緒に出ている点だ。この三つがそろうと、本人確認を装った電話や SMS が、いかにも本物らしく聞こえる。「バーガーキングの会員情報漏えいの件で、ご本人確認を」と言われれば、名前も誕生日も相手が先に知っている。
同社は、同社やそのサービスを装った不審なメール、SMS、電話に注意するよう求めている。不審な連絡を受けたら、URL を開かず、添付ファイルも開かず、会員情報やパスワードを入力しないでほしいという。
会員の側でできることは、手間の順に並べるとこうなる。
- 届いたメールや SMS のリンクから入らず、アプリか公式サイトのお知らせと突き合わせる
- 電話で個人情報を聞かれたら、その場で答えず、いったん切って公式の窓口にかけ直す
- アプリと同じパスワードをほかのサービスでも使っているなら、そちらを別のものに変えておく
三つ目は、同社が求めていることではない。パスワードの漏えいはいまのところ確認されていないからだ。ただ、調査は続いている。使い回しの見直しは、どのサービスで使ったかを思い出すところがいちばん手間だが、今回に限らず効いてくる備えになる。
一方で、漏れた電話番号や生年月日は、パスワードのように変えられない。この点は、会員の側で打てる手が少ない。
確認できる次の点
次に見るのは、ビーケー・ジャパンが公式サイトに出す続報だ。不正アクセスが可能になった経緯と、対象の人数や退会会員の扱いがどこまで示されるかが焦点になる。問い合わせは同社のカスタマーサービス (0120-945-630、平日10時から17時、土日祝日休み) が受けている。
ことば
- 登録種別 — アプリにどの方法で会員登録したかを示す区分。メールアドレスで登録したのか、別の方法かといった情報で、今回の漏えい項目に含まれている。
- メールアドレス認証 — 登録したメールアドレスが本人のものかを、届いたメールのリンクなどで確かめる手続き。済んでいるかどうかの記録が漏れると、そのアドレスに実際に届くことを相手に知られる。
名前も誕生日も知っている相手から「ご本人確認を」と連絡が来たとき、あなたはどこで手を止めるだろうか？
