バーガーキング公式アプリの情報漏洩｜約1,118万件の項目と偽メールの見分け方 2026

Q: Q. 問い合わせ先と受付時間を教えてもらえますか？

問い合わせ先は株式会社ビーケー・ジャパンのカスタマーサービスで、電話は0120-945-630、メールは customerservice@burgerking.co.jp です。受付時間は平日10時から17時で、土日祝日は休業です。問い合わせでパスワードやカード番号を伝える必要はありません。

2026年10月20日

＠SOHO編集部

この記事のポイント

✓バーガーキング公式アプリの情報漏洩について
✓株式会社ビーケー・ジャパンの2026年10月15日の発表をもとに
✓約1,118万件の漏れた項目と含まれない項目

バーガーキングを国内で展開する株式会社ビーケー・ジャパンは2026年10月15日、バーガーキング公式アプリの会員情報を管理するシステムが第三者の不正アクセスを受け、公式アプリの会員情報約1,118万件が外部に漏えいしたと発表しました。漏れたのは会員ID、メールアドレス、氏名（漢字・カナ）、電話番号、生年月日、性別、都道府県などで、クレジットカード番号は同社が持っておらず漏えいしていません。ログインパスワードの漏えいは、発表の時点で確認されていません。利用者がまずすることは、バーガーキングを名乗るメール、SMS、電話のリンクや添付ファイルを開かず、会員情報やパスワードを入力しないことです。

この記事では、2026年10月20日時点の公式発表だけをもとに、何が起きたのか、漏れた項目と含まれない項目、原因、会社の対応、自分が対象かの確かめ方、偽の連絡の見分け方、問い合わせ先を順に整理します。

バーガーキング公式アプリの情報漏洩で何が起きたのか（2026年10月20日時点）

最初に、公式発表に書かれた事実を短く並べます。

公表した会社：株式会社ビーケー・ジャパン
公表日：2026年10月15日
対象のサービス：バーガーキング公式アプリ
件数：公式アプリ会員情報約1,118万件
不正アクセスの期間：2026年10月2日（金）から10月7日（水）
漏えいが判明した日：2026年10月13日（火）
二次被害：発表の時点で、不正利用などの二次被害は確認されていない
続報：2026年10月20日時点で、公式サイトのニュース欄に続報は出ていない

件数の約1,118万件は、公式アプリの会員情報の件数です。バーガーキングは2026年9月に、公式アプリの会員が1,000万人を突破したと発表していました。つまり、公式アプリの会員のほとんどが対象になったと考えられる規模です。1人が複数のアカウントを作っている場合などに件数が重なるかどうかは、公式発表に説明がありません。

公式アプリは、クーポンの受け取りやモバイルオーダー（アプリから注文して店で受け取る仕組み）に使われています。クーポンのためにアプリを入れて会員登録だけした人も、対象になりえます。

公表の経緯：不正アクセスから公表までの日付

公式発表に書かれている日付を順に並べます。2026年10月20日時点で、発表は10月15日の1回です。

日付	公式発表に書かれていること
10月2日（金）から10月7日（水）	第三者による不正アクセスが行われた
不正アクセスの把握後	通信元からのアクセスを直ちに遮断した
10月13日（火）	調査の結果、会員情報が漏えいしたことが判明した
10月15日（木）	公表。個人情報保護委員会へ報告した

発表によると、ビーケー・ジャパンは、会員情報を管理するシステムへの不正アクセスの可能性を確認して調査を行い、10月13日に漏えいが判明しました。不正アクセスは6日間にわたって続いていたことになります。

不正アクセスが可能になった経緯と詳しい原因は、外部の専門機関と連携して調査中とされています。調査の結果、件数や項目が変わる可能性もあります。今後の続報は、バーガーキングの公式サイトのニュース欄（お知らせ）で確かめるのが確実です。

漏れた項目と、含まれない項目

公式発表に挙がっている項目を表にします。

項目	内容の説明
会員ID	アプリの会員を見分けるための番号
メールアドレス	登録に使ったメールアドレス
登録種別	どの方法で会員登録したか（公式発表に詳しい説明は無い）
都道府県	登録した都道府県
性別	登録した性別
生年月日	登録した生年月日
氏名（漢字・カナ）	登録した氏名
電話番号	登録した電話番号
モバイルオーダー履歴の有無	モバイルオーダーを使ったことがあるかどうか
メールアドレス認証の有無	登録したメールアドレスの確認が済んでいるかどうか

次に、公式発表で含まれないとされた項目です。

項目	公式の説明
クレジットカード番号	当社で保持しておらず、漏えいしていない
ログインパスワード	漏えいは現在確認されていない

公式発表の表現に注意してください。カード番号は「保持しておらず、漏えいしておりません」と言い切っていますが、パスワードは「漏えいは現在確認されておりません」という書き方です。調査が続いているので、今後の続報で変わる可能性がゼロではありません。続報が出るまでのあいだ、パスワードについても念のため備えておくのが安全です。

住所は、都道府県だけが項目に入っています。市区町村や番地は公式発表の項目にありません。注文の内容や注文の履歴そのものも、項目には入っておらず、入っているのは「モバイルオーダー履歴の有無」だけです。

■対象：公式アプリ会員情報約1,118万件 ■内容：会員ID、メールアドレス、登録種別、都道府県、性別、生年月日、氏名（漢字・カナ）、電話番号、モバイルオーダー履歴の有無、メールアドレス認証の有無。出典: burgerking.co.jp

公式発表の言葉の読み方：「漏えいした」と「確認されていない」

漏えいの発表には、似ているようで意味の違う言い方が並びます。今回の発表を正しく読むために、言い方の違いを整理します。

公式発表の言い方	読み方
漏えいしたことを確認いたしました	調査で、外部に出たことが確かめられた
保持しておらず、漏えいしておりません	そもそも会社が持っていない情報なので、漏れようがない
漏えいは現在確認されておりません	今の時点では漏れた証拠が見つかっていないが、調査は続いている
二次被害は確認されておりません	漏れた情報が悪用された報告は、今の時点で届いていない

今回の発表では、会員情報の10項目は「漏えいした」、カード番号は「保持しておらず、漏えいしておりません」、パスワードは「現在確認されておりません」と、3つの言い方が使い分けられています。いちばん確かなのはカード番号で、次に気をつけて見ておくべきなのがパスワードです。

二次被害が「確認されていない」のは、発表の時点の話です。漏れた情報を使った偽の連絡は、時間がたってから届くこともあります。数か月は注意を続けてください。

原因：第三者による不正アクセス（詳細は調査中と発表）

公式発表は、原因を「第三者による不正アクセスによるもの」と確認したうえで、不正アクセスが可能となった経緯と詳しい原因は、外部の専門機関と連携して調査中としています。

どの部分の弱点を突かれたのか、外部の委託先が関係しているのか、といったことは、2026年10月20日時点で公表されていません。ネット上には原因を推測する書き込みも見られますが、公式に書かれていないことは事実として扱わないでください。

原因が分からない段階でも、利用者がとれる対策は変わりません。漏れたのはメールアドレス、電話番号、氏名、生年月日などの連絡先と本人の情報です。原因が何であっても、これらを使った偽の連絡に備えること、パスワードの使い回しをやめることの2つが、利用者の側でできる対策の中心になります。原因の続報を待つあいだに、この2つを先に済ませておくのが効率的です。

不正アクセスの期間が10月2日から7日だったことから、それ以降に会員登録した人が対象に含まれるかどうかは、公式発表からは読み取れません。10月8日以降に登録した人で気になる場合は、カスタマーサービスに確かめてください。

ビーケー・ジャパンの対応

公式発表に書かれている会社の対応は、実施済みのものと、続けて行うものに分かれています。発表に無いことは書きません。

実施済みとされているのは次の4つです。

不正アクセス元からの通信の遮断
暫定対策の実施
対策本部の設置
個人情報保護委員会への報告

続けて、または順次行うとされているのは次の3つです。

恒久対策の実施
外部の専門機関と連携した各種の調査
対象のお客様へのメールによる案内

再発防止策としては、システムのセキュリティ対策と監視体制を強化し、外部の専門機関の助言を得ながら取り組むとしています。

補償やお詫びのクーポンについては、2026年10月20日時点の公式発表に記載がありません。「お詫びのクーポンを配布中」「補償の手続きはこちら」という連絡が届いても、公式発表に無い以上は、まず偽物を疑ってください。

自分が対象かを確かめる方法

1. 公式アプリの会員登録をしていたかを思い出す

対象は、公式アプリの会員情報です。アプリを入れて会員登録をしていれば、対象に含まれている可能性があります。会員登録をせずにアプリを見ていただけの場合や、アプリを使っていない場合は、公式発表の対象とは別です。

2. 案内のメールを探す

ビーケー・ジャパンは、対象のお客様へのメールによる案内を順次行うとしています。受信箱と迷惑メールのフォルダで「バーガーキング」「ビーケー・ジャパン」「不正アクセス」で検索します。順次の案内なので、10月20日時点でまだ届いていない人もいるはずです。

届いたメールが本物か迷ったときは、メールのリンクは使わず、バーガーキングの公式サイトを自分で開き、ニュース欄の10月15日のお知らせと内容を照らし合わせます。公式発表は、不審な連絡についてURLへのアクセスや添付ファイルの開封、会員情報やパスワードの入力をしないよう呼びかけています。本物の案内であっても、メールのリンクからパスワードなどを入れる必要は無いと考えて動けば、偽物に引っかかることはありません。

3. 分からないときはカスタマーサービスに問い合わせる

自分が対象か分からない場合は、後の節に載せたカスタマーサービスに問い合わせます。

利用者がすること

漏れた項目に合わせて、必要なことだけに絞って説明します。

偽のメール・SMS・電話に注意する

今回いちばん気をつけるのはここです。氏名、メールアドレス、電話番号、生年月日がそろって漏れたため、本名で呼びかける偽のメールやSMS、電話が届きやすい状態になっています。公式発表も、当社や当社のサービスを装った不審なメール、SMS、電話に注意するよう呼びかけています。見分け方は次の節で詳しく説明します。

パスワードは念のため見直す

パスワードの漏えいは確認されていませんが、メールアドレスは漏れています。メールアドレスが分かると、そのアドレスでほかのサービスへのログインを試される攻撃があります。どこかで漏れた別のパスワードと組み合わせて試されることもあるため、バーガーキングのアプリと同じパスワードをほかのサービスで使っている人は、そちらを変えておくと安心です。

見直す順番は、メールのアカウント、ネット銀行、カード会社の会員サイト、大手の通販サイト、スマートフォンの決済サービスの順です。使えるサービスでは二段階認証も設定します。二段階認証とは、パスワードに加えて、スマートフォンに届く数字などがないとログインできない仕組みのことです。

生年月日を暗証番号に使っていないか見直す

生年月日が漏れた人は、誕生日の数字を、キャッシュカードの暗証番号、スマートフォンのロック、ほかのサービスのパスワードに使っていないかを確かめます。氏名と電話番号と生年月日がそろって知られている状態で、誕生日の暗証番号を使い続けるのは危険です。

カードの明細は、ふだんどおりの確認でよい

カード番号はビーケー・ジャパンが持っておらず漏えいしていないとされています。今回の件だけを理由にカードを止めたり作り直したりする必要は、公式発表からは読み取れません。ただ、偽のサイトにカード番号を入れてしまった場合は別です。その場合はすぐにカードの裏面の番号からカード会社に連絡してください。

偽のメール・SMS・電話の見分け方

外食チェーンのアプリでは、クーポンやキャンペーンのお知らせが日常的に届きます。そのため、「お詫びのクーポン」「限定キャンペーン」を装った偽の連絡に引っかかりやすい面があります。次のどれかに当てはまれば、偽物を疑ってください。

「お詫びのクーポン」「補償のポイント」を受け取るためと言って、リンク先でログインやカード番号の入力をさせようとする
「アカウントが停止されます」「本日中に本人確認が必要です」など、急がせる
本名や生年月日を書き添えて、「ご本人確認のため」と称してパスワードや認証の数字を聞く
送信元のアドレスや、リンク先のドメインが、公式のものと少しだけ違う
電話で、アプリのパスワードやSMSで届いた認証の数字を聞き出そうとする

SMSで届いた数字（認証コード）は、どの会社の名前で頼まれても、人に伝えてはいけません。その数字は、あなたのアカウントにログインするための最後の鍵です。

偽のメールかどうか迷ったら、メールの中のリンクではなく、スマートフォンに入っている公式アプリそのものを開いて、アプリの中にお知らせが出ているかを確かめます。アプリの画面に無い案内は、まず偽物と考えて差し支えありません。

フィッシングメールの見分け方を職場や家族で身につけたい人は、模擬訓練の進め方をまとめた社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドが参考になります。

偽のSMSの例と、届いたときの手順

偽のSMSは、短い文とリンクだけで届くことがほとんどです。たとえば、次のような文面が考えられます。

「【バーガーキング】不正アクセスのお詫びとしてクーポンを付与しました。こちらから受け取り：（リンク）」
「〇〇様の会員情報の確認が必要です。24時間以内に手続きしない場合、アカウントを停止します：（リンク）」
「お客様情報の漏えいに伴い、パスワードの再設定をお願いします：（リンク）」

どれも、本物の会社名と、漏えいの話題と、急がせる言葉と、リンクがそろっています。こうしたSMSが届いたら、次の順番で動きます。

リンクを押さない。押してしまっても、開いた画面に何も入力しない
公式アプリそのものを開き、アプリの中に同じ案内が出ているかを見る
公式サイトのニュース欄を自分で開き、同じ内容のお知らせがあるかを見る
どちらにも無ければ偽物と考え、SMSを削除する。スマートフォンの迷惑メッセージの報告の機能があれば使う

迷ったときに、SMSに書かれた番号へ電話して確かめるのは避けます。偽のSMSに書かれた番号は、偽の窓口につながっています。

偽の連絡にうっかり答えてしまったとき

リンクを開いてパスワードを入れてしまった場合は、すぐにそのサービスのパスワードを変え、同じパスワードを使うほかのサービスも変えます。カード番号を入れてしまった場合は、カードの裏面の番号からカード会社に連絡し、利用の停止を相談します。電話で個人情報を話してしまった場合も、話した内容を書き留めて、関係する会社の窓口に知らせます。

偽の連絡そのものは、警察の相談窓口や消費生活センターに相談できます。お金をだまし取られた場合は、すぐに警察に相談してください。

漏れた項目ごとに、起こりやすいことと備え

項目によって、気をつける場面が違います。

項目	起こりやすいこと	備え
メールアドレス	バーガーキングを装ったフィッシングメール、ほかのサービスへのログインの試み	リンクを開かず、同じパスワードのサービスを変える
電話番号	偽のSMS、会社を名乗る電話	SMSのリンクを開かず、電話では答えない
氏名、生年月日、性別	本名や誕生日を添えた本物らしい連絡、ほかのサービスの本人確認を突破される	誕生日を暗証番号やパスワードに使っていれば変える
都道府県	地元の店舗を装った案内	店舗からの案内は公式アプリで確かめる
モバイルオーダー履歴の有無	「ご注文について」を装った連絡	注文の状態は公式アプリの画面で確かめる
メールアドレス認証の有無	「メールアドレスの再認証が必要」を装った連絡	再認証の案内が来ても、公式アプリから自分で操作する

「メールアドレス認証の有無」が漏れたことで、「メールアドレスの認証が済んでいません。こちらから認証してください」という偽の案内が作られるおそれがあります。認証が必要かどうかは、公式アプリの設定画面で自分で確かめれば分かります。

漏えいを調べる方法そのものについては、メールアドレスが過去の漏えいに含まれていないかを無料で調べる手順をHave I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法と、大手クラウドの過去の漏洩で解説しています。住所まで漏れた事案と比べたい人は、個人情報が流出して住所が漏れたときの対応｜起きることと防ぎ方の順番も参考になります。

電話番号が漏れたときの、電話への備え

今回は電話番号と氏名と生年月日がそろって漏れています。電話の詐欺は、本名を呼び、生年月日を言い当てることで「本物の会社からの電話だ」と思わせようとします。相手が自分の情報を知っていることは、本物である証拠になりません。漏れた情報を読み上げているだけかもしれないからです。

電話で気をつけるのは次の点です。

会社を名乗る電話で、パスワード、SMSで届いた数字、カード番号、暗証番号を聞かれたら、答えずに切る
「返金がある」「補償金を振り込む」と言って、ATMやネット銀行の操作を指示されたら、詐欺と考える
本物か確かめたいときは、いったん切って、公式発表や公式サイトに載っている番号から自分で掛け直す

知らない番号からの着信は、留守番電話に用件を残してもらう設定にしておくと、その場で慌てて答えずに済みます。

登録に使うメールアドレスを分ける

今回のように、クーポンのために登録したアプリから情報が漏れることは珍しくありません。こうした漏えいの影響を小さくするには、登録に使うメールアドレスを用途で分けるのが効果的です。

仕事のメールアドレス：取引先とのやり取りと、仕事で使うサービスだけ
私用の主なメールアドレス：銀行、カード会社、行政の手続きなど大事なものだけ
登録用のメールアドレス：クーポン、ポイント、キャンペーンなどのアプリや通販サイト

このように分けておけば、登録用のアドレスに偽のメールが届いても、銀行や仕事のアカウントは別のアドレスなので、乗っ取りの連鎖が起きにくくなります。また、登録用のアドレスに銀行やカード会社を名乗るメールが届いた時点で、偽物だとすぐに分かります。そのアドレスを銀行に登録していないからです。

メールのサービスによっては、1つの受信箱で複数のアドレスを使い分ける仕組みもあります。使っているメールのサービスの公式ヘルプで、使える機能を確かめてみてください。

家族の分も確かめる

公式アプリは、家族のスマートフォンにも入っていることがよくあります。特に、クーポン目当てで若い家族が会員登録をしている場合は、本人の氏名、生年月日、電話番号が対象に含まれています。偽のSMSや電話に慣れていない家族ほど、「お詫びのクーポン」のような連絡を信じやすくなります。

家族で次の3つを共有しておくと、被害を防ぎやすくなります。

バーガーキングを名乗るメールやSMSのリンクは開かない
電話でパスワードやSMSの数字を聞かれても答えない
迷ったら、公式アプリの画面を見るか、家族に相談する

高齢の家族が、子や孫に頼まれて会員登録をしていることもあります。誰のスマートフォンに公式アプリが入っているか、家族で一度確かめておくと安心です。

続報の確かめ方

今回の発表では、不正アクセスが可能になった経緯と詳しい原因は調査中とされ、恒久対策と対象者へのメールでの案内も順次実施中とされています。今後、調査の結果がまとまれば、続報が出る可能性があります。

続報を確かめるときは、次の2つだけを見れば足ります。

バーガーキングの公式サイトのニュース欄（お知らせ）
公式アプリの中のお知らせ

ニュースサイトやSNSの投稿は、日付が古いまま広まったり、推測が混ざったりすることがあります。件数や項目、パスワードの扱いが変わったかどうかは、必ず公式のお知らせで確かめてください。続報でパスワードの漏えいが確認された場合は、その時点でアプリのパスワードを変え、同じパスワードを使うサービスも変えます。

問い合わせ先

公式発表に載っている問い合わせ先は次のとおりです。2026年10月20日時点の記載です。

項目	内容
名称	株式会社ビーケー・ジャパンカスタマーサービス
電話番号	0120-945-630
メール	[email protected]
受付時間	平日10時～17時（土日祝日は休業）

土日祝日は休業なので、週末に不安な連絡が届いたときは、まず自分でできること（リンクを開かない、パスワードを入れない、公式アプリで確かめる）を済ませ、平日に問い合わせます。問い合わせのときに、パスワードやカード番号を伝える必要はありません。そうしたことを聞かれたら、一度電話を切り、公式発表に載っている番号から掛け直してください。

問い合わせの前に、登録に使ったメールアドレスと電話番号、アプリに登録している氏名、届いた不審な連絡があればその日時と文面を手元にまとめておくと、短い時間で確認が進みます。偽のSMSやメールは、削除する前に画面を保存しておくと、問い合わせのときに伝えやすくなります。

アプリを使い続けるか、退会するかの考え方

今回の件をきっかけに、アプリを削除するか迷う人もいるはずです。アプリをスマートフォンから削除しても、会員登録の情報はそれだけでは削除されません。登録した情報を残したくない場合は、アプリの中の退会の手続きか、カスタマーサービスへの問い合わせで、会員の退会を進める必要があります。退会の方法は公式発表には書かれていないので、アプリの画面かカスタマーサービスで確かめてください。

ただし、退会しても、10月2日から7日に取られた可能性のある情報が取り戻せるわけではありません。退会するかどうかとは別に、偽の連絡への注意とパスワードの見直しは続けてください。

使い続ける場合は、次の点を見直すと安全です。

アプリのパスワードを、ほかのどのサービスとも違うものにする
アプリからの通知と、メールやSMSの案内を区別して読む（大事な案内はアプリの中で確かめる）
登録している情報のうち、不要なものがあれば変更や削除ができるか確かめる

外食やコンビニのアプリは、クーポン目当てで次々に会員登録しがちです。使わなくなったアプリの会員は退会しておくと、登録した情報の数そのものを減らせます。同じ時期には、ほかの飲食チェーンや小売のアプリでも漏えいの公表が相次いでいます。自分が会員登録しているアプリの一覧を作っておくと、公表が出たときにすぐ対象かどうかを判断できます。

在宅で仕事をする人が気をつけること

バーガーキングの公式アプリを仕事で使う人は多くないはずですが、仕事用のメールアドレスや仕事用のスマートフォンの電話番号で登録していた人は、そのメールアドレスと電話番号が漏れています。仕事のメールに偽のメールが届き、そこから取引先とのやり取りに使うアカウントが乗っ取られると、被害は自分だけでは済みません。仕事用のアドレスで登録していた人は、仕事のアカウントのパスワードと二段階認証を優先して見直してください。

漏えいを起こしたのはビーケー・ジャパンで、国への報告と本人への案内は同社が行っています。個人情報保護委員会は、事業者が国へ報告しなければならない場面を次のように示しています。

下記の要件に該当する場合、漏えい等報告が義務付けられています。出典: ppc.go.jp

同じページでは、要件として、病歴などの配慮が必要な情報が含まれる場合、財産的な被害につながるおそれのある情報が含まれる場合、不正アクセスなど不正な目的による場合、本人の数が1,000人を超える場合の4つを挙げています。報告の期限は、発覚したら速やかに、不正な目的によるおそれがある場合は発覚日から60日以内とされています。

外食のアプリに取引先の個人情報を登録していることは、ふつうは考えにくいため、今回の件で取引先に知らせる必要が出る場面は限られます。ただし、仕事のメールアカウントに不正なログインの形跡が見つかった場合は話が別です。取引先とのやり取りやファイルが見られた可能性があるときは、いつ、どのアカウントで、どんな形跡があったかを事実として取引先に伝えます。報告や通知の義務が誰にあるかは事情で変わるため、自分だけで決め付けず、迷うときは個人情報保護委員会の個人情報保護法相談ダイヤル（03-6457-9849）に相談してください。

運営者の視点：小さなアカウントの管理が、仕事のアカウントを守る

フリーランスと在宅ワークの市場を20年見てきた立場から言えば、仕事のアカウントが乗っ取られる入り口は、仕事とは関係のない小さなサービスであることが少なくありません。クーポンのために登録したアプリのメールアドレスとパスワードが、仕事のメールと同じだった、という形です。どこか1つのサービスから漏えいが起きても、仕事用と私用のアドレスを分け、サービスごとにパスワードを変えていれば、被害はそのサービスの中で止まります。

依頼者と受注者が直接やり取りする手数料0%の取引では、間に立つ会社がアカウントの管理を肩代わりしてくれない分、こうした日ごろの管理がそのまま取引先からの信用になります。

情報セキュリティの知識は、それ自体が仕事にもなります。企業のセキュリティ対策を支援する仕事の内容はAI・マーケティング・セキュリティのお仕事で、アプリやシステムを作る側の仕事はアプリケーション開発のお仕事で紹介しています。ログインにパスワード以外の要素を組み合わせる仕組みは、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で比べています。

よくある質問

Q. バーガーキング公式アプリのパスワードは漏れましたか？

株式会社ビーケー・ジャパンの2026年10月15日の発表では、ログインパスワード情報の漏えいは「現在確認されておりません」とされています。調査は続いているため、続報で変わる可能性もあります。メールアドレスは漏れているので、アプリと同じパスワードをほかのサービスで使っている人は、そちらを変えておくと安心です。