焼肉きんぐで会員情報1078万件が流出、不正アクセスが原因パスワードや決済情報は含まれず

「焼肉きんぐ」や「丸源ラーメン」などを展開する物語コーポレーションは2026年10月5日、公式アプリ「焼肉きんぐ」の会員管理システムが第三者による不正アクセスを受け、会員情報1078万8963件が外部に流出したと発表した。アプリの登録者数は1080万8784件で、登録者のほぼ全員にあたる約99.8%が対象になる計算だ。流出した情報には会員番号や氏名(アプリ登録名)、メールアドレス、電話番号が含まれる一方、ログインパスワードやクレジットカードなどの決済情報は含まれていないという。

同社によると、現時点で流出した情報が不特定多数に公開されたり、不正に利用されたりした事実は確認されていない。ただし侵入経路など原因の特定は引き続き調査中で、今後の調査結果によって情報が追加・修正される可能性がある。ここでは公式発表の内容を軸に、今回の事案の経緯と規模、利用者が今できることを整理する。

検知から公表まで3日間の経緯
流出した情報と、流出していない情報
「1078万件」はアプリ登録者のほぼ全員にあたる数字
物語コーポレーションはどのくらいの規模の会社か
人口規模で見る1078万件という数字
過去の大規模な個人情報漏えい事件と比べると
なぜ企業は漏えいを公表・報告する義務があるのか
対象になった可能性がある人が今できること
まだ分かっていないこと
よくある質問
情報源

検知から公表まで3日間の経緯

物語コーポレーションの発表によれば、不正アクセスが確認されたのは10月2日。同社は検知後、速やかに通信の遮断や防御措置を実施し、「焼肉きんぐ」以外の同社運営ブランドの公式アプリについても同様の対策を講じた。その後の調査で、10月3日に会員情報の漏えいが確認され、個人情報保護委員会への報告と警察への被害届提出の手続きを進めたうえで、10月5日に公表に至っている。

検知から公表まで3日を要した点について、同社は具体的な理由を説明していない。もっとも、個人情報保護法は漏えいの範囲などを確認したうえで監督機関に速報を提出するまでの期間として概ね3〜5日程度を想定した運用になっており、結果的に同社の対応はその範囲内で収まっている。

流出した情報と、流出していない情報

同社の発表を整理すると、流出した可能性がある情報と、含まれていないとされる情報は次のようになる。

流出した情報	流出していない情報
会員番号	ログインパスワード
氏名(アプリ登録名)	生年月日・性別
メールアドレス	郵便番号
電話番号	保有ポイント・店舗利用履歴
―	決済情報(同社は保有していない)

パスワードや決済情報が含まれていない点は利用者にとって一定の安心材料になる。しかし氏名・メールアドレス・電話番号の組み合わせが流出した場合、それ自体が金銭的被害に直結しなくても、同社名や関連ブランドをかたったフィッシングメール・SMSの標的にされるリスクは残る。「決済情報は漏れていないから無関係」と捉えるのではなく、今回漏れた情報がどう悪用され得るかを分けて考える必要がある。

「1078万件」はアプリ登録者のほぼ全員にあたる数字

1078万8963件という数字は、物語コーポレーション全体の会員数や全国民を指すものではなく、「焼肉きんぐ」公式アプリの登録者1080万8784件のうち、ほぼ全員(約99.8%)が対象になったことを示す数字だ。物語コーポレーションは丸源ラーメンや寿司・しゃぶしゃぶゆず庵など複数ブランドを展開しているが、各ブランドのアプリ会員情報まで同じ規模で流出したという発表はなく、今回の対象は「焼肉きんぐ」アプリの会員管理システムに限定されている。規模の大きさに驚く前に、まずは自分が「焼肉きんぐ公式アプリ」に登録しているかどうかを確認することが、実際の影響を判断する第一歩になる。

物語コーポレーションはどのくらいの規模の会社か

「焼肉きんぐ」を運営する物語コーポレーションは、「丸源ラーメン」「寿司・しゃぶしゃぶゆず庵」など14ブランドを展開する外食大手だ。2026年6月期第3四半期(2025年7月〜2026年3月)の決算では、売上高1121億3百万円、営業利益91億2500万円を計上しており、通期の売上高は1516億8900万円を見込んでいる。店舗網は直営・フランチャイズ・海外を合わせて数百店規模にのぼり、「焼肉きんぐ」単独でも国内有数の焼肉チェーンに数えられる。今回流出した1080万件超のアプリ登録者数は、こうした店舗規模の大きさと、来店促進のためにアプリ会員化を積極的に進めてきたことの裏返しでもある。

人口規模で見る1078万件という数字

1078万8963件という件数は、2026年6月1日時点で総務省統計局が示す日本の総人口(1億2285万人)と比べると、単純計算でおよそ8.8%に相当する。もちろんアプリ登録者には同一人物の重複登録や、海外在住者・法人名での登録なども含まれうるため、この数字が「日本に住む人の8.8人に1人の情報が漏れた」ことを直接意味するわけではない。あくまで、どれくらいの規模の漏えいかを把握するための参考値として捉える必要がある。

過去の大規模な個人情報漏えい事件と比べると

件数だけを見ると「過去最大級」という印象を持つかもしれないが、国内の個人情報漏えい事件の歴史で見ると必ずしも最大規模ではない。2014年に発覚したベネッセコーポレーションの事件では、最大で約2070万件の顧客情報が流出した可能性があると発表された(当時の報道では確認分として約760万件からスタートし、その後拡大した)。2016年には旅行大手JTBの子会社がウイルス感染による不正アクセスを受け、最大約793万人分の個人情報(パスポート番号を含む)が流出した可能性があると発表されている。

この2件はいずれも「流出の可能性がある件数」としての発表だった点に注意が必要だ。一方、今回の焼肉きんぐの事案で物語コーポレーションが示した1078万8963件は、調査の結果「漏えいが確認された」件数として発表されている。単純な数字の大小だけでなく、「可能性がある件数」なのか「確認済みの件数」なのかという前提の違いを踏まえて比較する必要がある。

件数の大きさは被害の重さをそのまま表すとは限らない。ベネッセの事件では顧客ら約5000人が1人あたり5万5000円の損害賠償を求めて集団訴訟を起こしたが、東京地裁が最終的に賠償を命じたのは3338人に対して1人あたり3300円、総額約1100万円だった。裁判所は、氏名や住所、電話番号、生年月日などの情報は「社会生活を営む上で一定範囲の他者に開示することが予定されており、秘匿性が高いとは言えない」と判断している。今回流出した情報も氏名・メールアドレス・電話番号が中心で、法的な意味での秘匿性という観点では、過去の判例が示す物差しの範囲内にあるとみられる。もっとも、これは法的な賠償額の話であり、フィッシングなど実際の悪用リスクが小さいことを意味するものではない。

なぜ企業は漏えいを公表・報告する義務があるのか

2022年4月に施行された改正個人情報保護法第26条により、企業が個人データの漏えい等を把握した場合、一定の条件に該当すれば個人情報保護委員会への報告と本人への通知が義務化されている。報告が必要になるのは主に次の4つの場合だ。(1)要配慮個人情報を含む漏えい、(2)財産的被害が生じるおそれのある漏えい、(3)不正アクセスなど不正の目的による行為によって生じた漏えい、(4)本人の数が1,000人を超える漏えい。

今回の事案は「不正アクセスによる漏えい」と「1,000人を超える大規模な漏えい」という2つの条件に該当するため、報告は努力義務ではなく法的な義務にあたる。報告には発覚後概ね3〜5日以内の速報と、30日以内(不正目的の場合は60日以内)の確報の2段階があり、物語コーポレーションが個人情報保護委員会への報告を進めていると発表しているのは、この枠組みに沿った対応とみられる。

同法は個人情報保護委員会への報告とあわせて、漏えいの対象になった本人への通知も原則として義務づけている。ただし対象者が1000万人を超えるような大規模な事案で一人ひとりに個別連絡するのが難しい場合には、ホームページでの公表や問い合わせ窓口の設置といった代替措置をもって通知に代えることが、個人情報保護委員会のガイドラインで認められている。今回、物語コーポレーションが公式サイトでの発表とコールセンター設置という形を取ったのも、この代替措置の枠組みに沿ったものと考えられる。

対象になった可能性がある人が今できること

物語コーポレーションは専用コールセンター(0120-795-775、10時〜18時、土日祝日含む)を設置している。「焼肉きんぐ」公式アプリに登録している、または登録した経験がある人は、不明点があればここに問い合わせるのが確実だ。パスワード自体は流出していないとされているが、同じメールアドレスやパスワードを他のサービスでも使い回している場合は、念のため使い回しを解消しておくと安心材料になる。

また、流出した氏名・メールアドレス・電話番号を使い、物語コーポレーションや「焼肉きんぐ」を名乗る不審なSMS・メール(フィッシング)が届く可能性もゼロではない。「ポイントが失効します」「個人情報の確認が必要です」といった文面でリンクをクリックさせ、クレジットカード番号やログイン情報を入力させる手口は、他社の漏えい事案でも繰り返し使われてきた典型的な手法だ。公式アプリやメールに記載のない電話番号・URLからの連絡には応じず、心当たりのない連絡は前述のコールセンターなど公式の窓口で確認するのが基本的な対策になる。

まだ分かっていないこと

原因となった具体的な侵入経路については、本記事執筆時点で物語コーポレーションは「調査中」としており、確定した説明は発表されていない。個人情報保護委員会への報告や警察への被害届の手続きがどの段階にあるか、最終的な調査結果がいつまとまるかについても、現時点では具体的な見通しは示されていない。確定していることと、まだ調査中であることを分けて見ておく必要がある。

今回の事案が示すのは、決済情報やパスワードが流出していなくても、会員アプリという形で顧客情報を一元管理する以上、一度の不正アクセスでほぼ全ての登録者の情報が同時に危険にさらされ得るという構造そのものだ。被害の大きさは必ずしも「その企業のセキュリティが特別に甘かった」ことを意味するとは限らず、どれだけ多くの顧客情報を一つのシステムに集約していたかという規模の問題でもある。だからこそ、企業側の原因調査と再発防止の行方だけでなく、利用者自身がどの情報が漏れ、何が漏れていないのかを正確に理解し、過不足のない対応を取ることが重要になる。

よくある質問

Q. 自分の情報が対象かどうかはどうすれば確認できる?
A. 本記事執筆時点で、物語コーポレーションは対象者を個別に絞り込んで確認する方法を公表していません。「焼肉きんぐ」公式アプリに登録している場合はほぼ全員が対象となり得るため、心当たりのある人は専用コールセンター(0120-795-775)に問い合わせるのが確実です。

Q. パスワードは変更する必要がある?
A. 同社の発表では、ログインパスワードは流出していないとされています。ただし同じメールアドレスやパスワードを他のサービスでも使い回している場合は、念のため見直しておくと安心です。

Q. クレジットカード情報は漏れている?
A. 物語コーポレーションは決済情報を保有していないとしており、クレジットカード番号などの流出は確認されていません。

Q. なぜ発覚から発表まで3日かかったのか?
A. 公式発表に具体的な理由の説明はありませんが、個人情報保護法は漏えいの範囲確認後、概ね3〜5日以内に監督機関へ速報を提出する運用になっており、同社の対応はこの期間内に収まっています。

Q. 「丸源ラーメン」など他ブランドのアプリも同じ被害に遭ったのか?
A. 物語コーポレーションは「焼肉きんぐ」以外の運営ブランドの公式アプリについても同様の防御措置を講じたと説明していますが、他ブランドのアプリ会員情報について今回と同程度の漏えいがあったという発表は本記事執筆時点ではありません。