最終更新：10 月 26 日 20:32（日本時間）
続報が出たら追記します。
すぐ見る：補償・確認方法・原因 ／ アプリの会員がやること ／ 予約で情報を預かるお店 ／ 技術的な詳細 ／ 経緯
ひとことで言うと
焼肉きんぐのアプリの会員のほぼ全員分の名前・メールアドレス・電話番号が漏れた（10 月 20 日のお知らせまで）
- 焼肉きんぐの公式アプリの会員を管理するシステムが、10 月 2 日から外部の何者かに攻撃され、会員の情報が漏れた。原因は調べているところ
- 漏れたのは、登録 10,808,784 件のうち 10,788,963 件の会員番号・アプリに登録した名前・メールアドレス・電話番号。パスワード・生年月日・ポイントなどは漏れていない。カード情報はもともと持っていない
- 会員は、焼肉きんぐを名乗るメール・SMS・電話に気をつける。運営会社は、アプリで名前と電話番号を持たない仕組みに 2027 年上半期に変えるとしている
どうすればいい？
よくある疑問と答え
-
自分は対象？確認する方法は？
お知らせには、自分が対象かを調べる方法の案内はありません。漏れた件数は登録数とほぼ同じなので、アプリに登録していた人は、対象になったものとして備えるのが無難です（この記事での整理）。
→ 会員がやること - 補償やお詫びのクーポンはある？ 2 つのお知らせには、補償やお詫びのクーポン・割引についての記載はありません（10 月 26 日に確認）。こうした話題の連絡が来たら、本物かどうかを公式サイトで確かめてください。
- パスワードは変えたほうがいい？ ログインのパスワードは漏れていないとされ、変更を求める案内は出ていません。ほかのサービスと同じパスワードを使い回しているなら、この件とは別に見直しておくと安心です（この記事での整理）。
-
気をつけることは？
名前とメールアドレス・電話番号がそろって漏れたので、本物らしい偽の連絡が来やすくなります。運営会社は、パスワードやカード情報を聞くことはないとしています。
→ 偽の連絡の見分け方 -
原因は？
外部の何者かによる不正アクセスとは確かめられていますが、原因と、入り込めた経緯は調べているところです。
→ 技術的な詳細 - アプリはまだ使える？ 外からの不正アクセスを防ぐ手を打ったうえで、サービスは続いています。
-
予約でお客さまの情報を預かるお店は？
予約で聞いている項目を書き出し、使っていない項目を聞くのをやめます。そのまま使える早見表とお知らせのひな形を下に載せています（この記事での整理）。
→ お店が見直すこと
詳しくは：アプリの会員がやること ／ 予約で情報を預かるお店が見直すこと
この記事では、焼肉きんぐの情報漏洩（公式アプリへの不正アクセス）について、運営する物語コーポレーションの 10 月 5 日のお詫びと 10 月 20 日のお知らせだけをもとに、何が起きたのか、どの個人情報が漏えいしたのか、アプリの会員がやることを整理します。補償や確認方法など、よく調べられている疑問には、上の「よくある疑問と答え」で、発表に書かれている範囲で答えています。
何が起きたか
2 つのお知らせで分かっていることです。2026 年 10 月 2 日、焼肉きんぐ公式アプリの会員を管理するシステムに、外部の何者かが不正にアクセスしているのが見つかりました。物語コーポレーションは通信を止めるなどの手を打ちましたが、10 月 3 日に会員の情報が漏れたことを確かめ、10 月 5 日に公表しました。
| 区分 | 内容 |
|---|---|
| 件数 | アプリのユーザー登録数 10,808,784 件のうち、漏えいしたのは 10,788,963 件。差は 19,821 件で、登録のほとんどが対象になっている |
| 漏えいした情報 | 会員番号・氏名（アプリ登録名）・メールアドレス・電話番号 |
| 漏えいしていない情報 | ログインパスワード・生年月日・性別・郵便番号・保有ポイントを含む店舗利用履歴 |
| 持っていない情報 | クレジットカードなどの決済情報（物語コーポレーションは保持していない） |
| 公開・悪用 | 漏えいした情報が不特定多数に公開された事実や、不正に利用された事実は確認されていない（10 月 5 日の時点） |
個人情報保護委員会への報告と、警察への届け出も進めています。
アプリの会員がやること
公式のお願いは、なりすましへの注意です。物語コーポレーションによると、漏えいした個人情報が、なりすましメールやフィッシング詐欺などに悪用されるおそれがあります。不審なメール、SMS、電話に注意し、身に覚えのないリンクや添付ファイルを開かないよう呼びかけています。
- 焼肉きんぐや物語コーポレーションを名乗る連絡で、パスワードやカード番号を聞かれても答えない。物語コーポレーションは、これらを聞くことはないとしている
- アプリにだけ登録した呼び名（ニックネームなど）で呼びかけてくるメールや SMS には、とくに気をつける。名前とメールアドレス・電話番号がそろっていると、本物らしく見える連絡が作れる（この記事での整理）
- 「お詫びのクーポン」「補償」をうたう連絡や、予約の確認・クーポンの案内は、メールのリンクからではなく、アプリや公式サイトを自分で開いて確かめる（この記事での整理）
- 不安なことは、公式アプリ専用コールセンター（0120-795-775・10 時〜18 時・土日祝日も受付）へ
予約で情報を預かるお店が見直すこと
10 月 20 日のお知らせで目を引くのは、再発防止に「持つ情報を減らす」ことを入れた点です。物語コーポレーションは、店舗の予約システムとつなぐために、アプリに登録した名前と電話番号を預かってきました。万が一のときのお客様のリスクを小さくするため、変更後はこの 2 つを持たないとしています。
大きなチェーンでなくても、予約のフォームや予約サービス、アプリ、LINE で、お客様の名前や電話番号を預かっているお店は少なくありません。持っていない情報は漏れません。予約で聞いている項目ごとに、本当に要るかを確かめる早見表にしました（この記事での整理）。
| 聞いている項目 | 何に使っているか | 減らす・持たない方法 |
|---|---|---|
| 氏名 | 来店したときの呼び出し・予約の照合 | 予約番号やカナの呼び名だけで照合できないかを考える。フルネームが要らないなら聞かない |
| 電話番号 | 遅れ・キャンセルの当日の連絡 | 来店日を過ぎたら消す。予約サービスの中だけに置き、手元の表やメモに写さない |
| メールアドレス | 予約の確認・変更の連絡 | お知らせやクーポンの配信に使うなら、予約とは別に同意を取り、配信を止めた人の分は消す |
| 生年月日 | 誕生日の特典 | 特典だけなら誕生月で足りる。年まで聞かない |
| 住所・郵便番号 | 来店型のお店では使わないことが多い | 配達や郵送をしないなら聞かない。地域の傾向を知りたいだけなら、市区町村までにする |
| 来店履歴・ポイント | 特典・リピートの把握 | 名前や電話番号と同じ表に並べず、会員番号だけで結びつける |
万が一のとき、お客様が本物の連絡と見分けられるよう、お店からの連絡のしかたを公式サイトに書いておくと役立ちます。物語コーポレーションの「当社からパスワードやクレジットカード情報などをお伺いすることはございません」という一文と同じ考え方です。そのまま載せられる形にしました（この記事での整理）。〔 〕の中はお店に合わせて埋めます。
ひな形（この記事での整理）
当店からのご連絡について
- 当店からのメールは〔送信元のアドレス〕から、SMS は〔予約サービスの名前〕からお送りします。
- 当店がメール・SMS・お電話で、パスワードやクレジットカード番号、口座番号をお聞きすることはありません。
- お詫びや特典を理由に、メールのリンクから個人情報の入力をお願いすることはありません。
- 不審な連絡が届いたときは、〔電話番号〕（〔受付時間〕）までお問い合わせください。
あわせて、予約やアプリの仕組みについて次のことを確かめておくと、見直しが進めやすくなります（この記事での整理）。
- 予約のフォーム・予約サービス・アプリ・LINE など、お客様の情報が入る仕組みを書き出した
- それぞれの仕組みで聞いている項目を並べ、使っていない項目を聞くのをやめた
- 予約サービスやアプリを作った会社に、不正アクセスに気づく仕組みと、事故のときの連絡のしかたを確かめた
- 管理画面に入れる人を確かめ、辞めた人のアカウントを消した
- 「当店からのご連絡について」を公式サイトに載せた
次に読む：同じ時期の飲食チェーンの注文サービスの例（ピザハット） ／ お客様の情報の扱い方をサイトに書く方法（プライバシーポリシー）
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 20 日 | 今後のセキュリティと個人情報保護の強化策を公表。焼肉きんぐを含むグループの計 11 の公式アプリで、持つ個人情報を減らし、氏名と電話番号を持たない新しいシステムへ 2027 年上半期に変える予定。攻撃が 10 月 2 日の朝 9 時から断続的に続いたことも説明 |
| 10 月 5 日 | 公式サイトと適時開示で、会員情報の漏えいを公表。件数と、漏えいした情報・漏えいしていない情報を示し、専用のコールセンターを案内 |
| 10 月 3 日 | 会員情報が漏えいしたことを確かめた |
| 10 月 2 日 | 会員管理システムへの不正アクセスを確かめ、通信の遮断と防御の措置をとった |
技術的な詳細（システム担当者向け）
ここからは、アプリや会員の仕組みを運用している担当者・エンジニア向けです。10 月 5 日と 10 月 20 日のお知らせに書かれた技術的な点を、発表の言葉に沿って並べます。
| 観点 | 発表の内容 |
|---|---|
| 対象のシステム | 焼肉きんぐ公式アプリの会員管理システム |
| 攻撃の様子 | 10 月 2 日の朝 9 時から、外部の第三者による断続的な攻撃を受けた（10 月 20 日のお知らせ）。通信の遮断と防御の措置をとったが、10 月 3 日に会員情報の漏えいを確認 |
| 原因 | 原因と、不正アクセスが可能になった経緯は調査中 |
| ほかのアプリ | 物語コーポレーションが運営するほかのブランドの公式アプリにも同じ措置をとり、情報漏えいなどの事実はないとしている |
| 再発防止 | 開発会社・関係会社の協力のもとで進める（委託先の名前は公表されていない）。グループの計 11 の公式アプリで、氏名（アプリ登録名）と電話番号を持たない新しいシステムへ 2027 年上半期に移る予定。メールアドレスは予約の機能のために残し、将来はメールアドレスも含めて個人情報を持たない仕組みを目指す |
| 名前と電話番号を持っていた理由 | 店舗の予約システムとの連携のため |
| 発表に無いこと | 攻撃の種類・使われた脆弱性や認証情報・データが読み出された経路 |
この記事での整理です。会員の情報を扱う仕組みでは、遮断や防御の措置をとったあとも接続の記録を追い続けて範囲を確かめる手順、1 回あたり・一定時間あたりに読み出せる件数の上限、いつもと違う読み出しに気づける通知を見直しておくと、同じ形の被害を小さくできます。
自社で見直すこと
公式アプリや予約のように、便利さのために預かった情報は、使い道が終わっても残りがちです。今回の件では、持つ情報を減らすことが再発防止の柱の 1 つになりました。お店の規模にかかわらず、同じ順番で見直せます（この記事での整理）。
- 聞く項目を減らす 予約や会員登録で聞いている項目を、使い道とセットで書き出し、使い道のない項目から外す。
- 残す期間を決める 来店日を過ぎた電話番号や、配信を止めた人のメールアドレスなど、用が済んだ情報を消す時期と担当を決める。
- お知らせと窓口を先に決めておく 事故のときに慌てないよう、お知らせのひな形と、問い合わせを受ける電話・メールを決め、サイトにすぐ載せられるようにしておく。
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、予約フォームで預かる情報の整理やお知らせの掲載、安全対策を公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
