10月に入り、大手企業の情報漏えいの公表が続いています。
焼肉きんぐの公式アプリでは約1,079万件、ローソンでは215万件を超える会員情報が流出しました。どちらも、顧客向けのアプリや会員システムが狙われた事案です。会員登録やWeb予約、問い合わせフォームなど、顧客情報を預かる仕組みは中小企業にもあります。
「大手の話」と片付けてよいのか、一度考えてみませんか。
焼肉きんぐは会員のほぼ全件、ローソンは発覚まで約3週間
物語コーポレーションは2026年10月5日、「焼肉きんぐ」公式アプリの会員管理システムが不正アクセスを受けたと発表しました(※1)。
漏えいは1,078万8,963件で、アプリ登録者数のおよそ99.8%にあたります。対象は会員番号、氏名、メールアドレス、電話番号です。パスワードや決済情報は含まれていないとしています。
ローソンも10月8日、「ローソンID」の215万5,345件が漏えいしたと公表しました(※2)。侵入は9月12日から14日にかけて行われ、確認されたのは10月7日の調査でした。侵入から発覚まで、約3週間が経っていたことになります。
公表119件のうち約7割が7月以降、侵入経路は「ID」と「脆弱性」
この2社だけが特別なわけではありません。
セキュリティ企業のラックは、国内法人によるWebシステム・アプリ経由の漏えい公表を独自に集計しています(※3)。10月6日時点で119件にのぼり、うち81件(約68%)が7月以降の公表でした。
同社のサイバー救急センターが7〜9月に対応した案件では、サーバーへの不正侵入が全体の52%を占めました。前の四半期は30%だったので、22ポイントの上昇です。侵入経路はIDの不正利用と、Webアプリケーションの脆弱性の悪用で約7割を占めたとしています(※3)。
狙われているのは「顧客情報の入口」
ラックの分析から見えるのは、攻撃者が社内ネットワークよりも、外に公開しているWebサービスを入口にしている点です。会員サイト、予約システム、アプリの裏側で動くAPI、テスト用に立てたまま残っている環境などが該当します。
中小企業でも、外注で作った会員サイトや問い合わせフォームが、何年も更新されないまま動いているケースは珍しくありません。ラックは対策として、公開しているWebサイトやAPIの棚卸し、多要素認証の徹底、8月以降のアクセスログの確認などを挙げています(※3)。
まず取り組みやすいのは、自社の弱点を外部の目で洗い出すことです。セキュリティ診断サービスの比較記事では、Webアプリの脆弱性診断を含む主なサービスを紹介しています。
社内外の通信を監視して不審なアクセスを止めたい場合は、UTM(統合脅威管理)製品の比較記事も参考になります。
原因やリスク別の全体像を押さえたい方は、企業向けの情報漏洩対策の記事から確認できます。
なお、侵入に気づくまでの時間を縮める考え方は、8月に公開したさくらインターネットの不正アクセスに関するコラムでも取り上げています。
「うちのサイトは誰が管理しているか」から確認を
漏えいが起きると、対象者への連絡や問い合わせ対応、なりすましメールへの注意喚起など、本業とは別の対応に追われます。顧客の信頼を取り戻すには、さらに長い時間がかかります。
まずは、自社が顧客情報を預かっているWebサービスを書き出してみてください。そのうえで、それぞれ誰が管理し、最後にいつ更新したかを確認するだけでも、優先して手を打つべき場所が見えてきます。
※出典※
※1 IT-TREND「「焼肉きんぐ」公式アプリに不正アクセス、会員情報約1079万件が漏えい」(2026年10月6日、物語コーポレーションの10月5日発表を報道) https://it-trend.jp/news/01-257
※2 @IT「ローソンID 215万件超が漏えい 氏名やメールアドレス流出、次に警戒すべきこと」(2026年10月16日) https://atmarkit.itmedia.co.jp/ait/articles/2610/16/news020.html
※3 株式会社ラック LAC WATCH「国内で相次ぐWebシステムからの情報漏えい~ラックの観測から見える変化と、企業が今とるべき対策」(2026年10月15日) https://www.lac.co.jp/lacwatch/alert/20261015_004996.html
