物語コーポレーション「焼肉きんぐ」公式アプリへの不正アクセス｜EC・会員システムを持つ中小企業が確認すべき5つの項目

本記事は、株式会社DnD（https://dnd-inc.jp）のコラムを一部編集して掲載しています。
初出: https://dnd-inc.jp/blog/member-app-security-check.html

2026年10月5日、物語コーポレーション株式会社は「焼肉きんぐ」公式アプリの会員管理システムへの不正アクセスを公表しました。漏洩した個人情報は約1,079万件に上ります。同社は同月20日の続報で、グループ11のアプリで保持する個人情報を必要最小限に削減する方針も発表しました。顧客向けのアプリ・ECサイト・会員管理システムを持つ中小企業にとって、他人事ではない出来事です。規模の大小にかかわらず、顧客の氏名・メールアドレス・電話番号を保有するシステムはリスクにさらされています。この機会に、自社のシステムを5つの項目で点検してみましょう。

この記事の要点

• 物語コーポレーションは2026年10月5日、「焼肉きんぐ」公式アプリへの不正アクセスによる約1,079万件の個人情報漏洩を公表した。漏洩情報は会員番号・氏名（アプリ登録名）・メールアドレス・電話番号の4項目。同月20日の続報では、グループ全体でのデータ保持を最小化する方針が示された。
• EC・予約・会員管理など顧客向けシステムを持つ中小企業も、同様の個人情報を保有している。個人情報保護法上の報告・通知義務は企業規模を問わない。「自社は小さいから大丈夫」という前提は根拠にならない。
• 外部公開システムのセキュリティ点検は、今日から自社で始められる。保有情報の最小化・API認証の確認・管理画面のアクセス制御・ログ保存・漏洩時フローの5項目が、最初の確認の出発点になる。

何が起きたか（公式発表の範囲で）

物語コーポレーション株式会社は2026年10月5日、傘下の「焼肉きんぐ」公式アプリの会員管理システムへの不正アクセスによる個人情報漏洩を公表しました。以下は同社の公式発表に基づく事実です。

• 2026年10月2日に会員管理システムへの不正アクセスを確認
• 翌3日に会員情報の漏洩を把握。通信の遮断と防御措置を実施
• 10月5日に事案を公表。個人情報保護委員会への報告を進めていると説明
• 漏洩件数は約1,078万8,963件。アプリ登録者の大部分が対象
• 漏洩した情報：会員番号、氏名（アプリ登録名）、メールアドレス、電話番号の4項目
• 漏洩していない情報：ログインパスワード、生年月日、性別、郵便番号、保有ポイントを含む店舗利用履歴、クレジットカード等の決済情報
  10月20日の続報では、外部専門企業と連携した追加のセキュリティ対策・監視体制強化の実施と、グループ傘下11ブランドの公式アプリ全体で保持する個人情報を必要最小限に削減する方針が発表されました。
  公式発表の時点で不正アクセスの手口・原因の詳細は公表されていません。本稿も公式発表の範囲に限って事実を整理しています。

中小企業の顧客管理システムに共通する3つの課題

「大企業のシステムが被害を受けた事件」と受け取ると、自社との距離が遠く見えます。しかし、顧客向けのシステムを持つ中小企業には、この事案から引き出せる3つの共通点があります。

課題1：顧客の個人情報を保有している

予約システム・ECサイト・ポイント管理・会員登録フォーム——これらを持つ会社は、顧客の氏名・メールアドレス・電話番号を保有しています。件数が数百件であっても、個人情報保護法上の「個人情報取扱事業者」として一定の義務を負います。2022年の法改正により、1,000件を超える漏洩や不正の目的による漏洩のおそれがある場合は、個人情報保護委員会への報告と本人への通知が義務付けられています。

課題2：外部に公開しているシステムがある

顧客がアクセスできるシステムは、言い換えると外部から直接アクセスできるシステムです。スマートフォンアプリのバックエンド、ECサイトのAPIエンドポイント、Web予約システムの管理画面——これらはインターネット上に「入口」を持ちます。入口の認証・認可が不十分な場合、大企業・中小企業を問わず悪用される経路になります。

課題3：「使っていない情報」を保有し続けている

物語コーポレーションが10月20日の続報で「保有情報の最小化」を方針として打ち出したことは注目点です。多くのシステムは、当初「あったほうがいい」として取得した情報を、利用しないまま蓄積し続けています。保持する情報が多いほど、漏洩した場合の影響範囲が広がります。「取得しない情報は漏洩しない」——これは技術的な対策と並ぶ、本質的なリスク低減の考え方です。

自社で今日から確認できる5つの項目

以下は、顧客向けのシステムを持つ中小企業が、技術的な専門知識なしに確認できる5項目です。全てに「はい」と言えない項目は、優先して状況を把握することをお勧めします。
この5項目は、システムの構造を熟知していなくても、担当者や開発会社に確認を求めることで把握できます。「ログが残っているか聞いてみる」「管理者アカウント一覧を出してもらう」から始めるだけでも、現状の把握が進みます。

開発・改修でセキュリティを組み込む進め方

5項目を確認して課題が見えた場合、あるいは新しいシステムを開発・導入する場合、セキュリティを後から足すのではなく設計の段階から組み込む進め方が工数・コストの両面で効率的です。

ステップ1：現行システムの棚卸しと優先度付け

まず「どのシステムが何の情報を持っているか」を整理します。外部に公開されているシステム（インターネット経由でアクセスできるもの）を優先リストに挙げ、保有情報の種類・件数・アクセス権限の状況を確認します。この棚卸しは、開発会社に依頼する前に自社内で行える作業です。

ステップ2：既存システムの設定・認証の見直し

棚卸しの結果をもとに、管理画面の二要素認証の設定、不要なアカウントの削除、ログ保存の設定有効化など、コードを変更せずに対応できる項目から着手します。この段階で、開発会社やサービス提供者にシステムの設定状況の確認を求めることも有効です。

ステップ3：設計・開発フェーズでのセキュリティ要件の明文化

新規開発や既存システムの大幅な改修を行う場合は、要件定義の段階でセキュリティ要件を明記します。「取得する個人情報を最小限にする」「認証方式の仕様を明示する」「ログの保存期間と確認方法を定める」という3点を発注仕様書に含めることで、開発会社との認識のズレを防げます。
小さく始める場合のスモールスタートは「まず管理画面の二要素認証だけ設定する」「まず不要なアカウントを整理する」のように、1つの改善から着手することです。全体を一度に直そうとする必要はありません。確認→対処→記録のサイクルを積み重ねていくことが、持続可能なセキュリティ管理につながります。
自社のシステムのセキュリティ状況、整理できていますか。
「どのシステムに何の情報が入っているか把握したい」「既存システムの点検を頼みたい」「新しいシステムを安全に作りたい」——ご相談・お見積りは無料です。何から始めればよいか分からない段階からお受けしています。

よくある質問

中小企業でも不正アクセスのターゲットになりますか？

規模に関係なく、顧客の個人情報（メールアドレス・電話番号・氏名など）を保持するシステムは攻撃者にとって価値があります。大企業のほうがニュースになりやすいだけで、中小企業も同様のリスクにさらされています。とくに、インターネットに公開されているAPIやWebシステムは外部から直接アクセスできる経路であり、認証の不備や古いソフトウェアの放置は規模を問わず悪用される可能性があります。

個人情報漏洩が発覚した場合、個人情報保護委員会への報告は義務ですか？

個人情報保護法では、一定要件を満たす漏洩・滅失・き損が発生した場合、個人情報保護委員会への報告と本人への通知が義務付けられています（2022年4月施行の改正法より）。報告義務が生じる主な場合は、①不正の目的による漏洩のおそれがある場合、②要配慮個人情報の漏洩、③1,000人を超える個人情報の漏洩、④財産的被害が生じるおそれがある場合などです。詳細は個人情報保護委員会の公式ガイドラインで確認することを推奨します。

既存の顧客管理システムのセキュリティ確認はどこから始めればよいですか？

まず「自社が保有している個人情報の棚卸し」から始めることを推奨します。どのシステムにどのような情報が入っているか、それは外部から直接アクセス可能か、管理者アカウントは誰が持っているかを確認するだけでも、リスクの全体像が見えてきます。その後、管理画面への二要素認証の設定、ログの確認、ソフトウェアのバージョン確認と更新へと進めます。自社だけでは判断が難しい場合は、開発会社にシステムの点検（ソースコードや設定の確認）を依頼することも選択肢のひとつです。

新しいシステムを開発するとき、セキュリティはいつ考えればよいですか？

開発の要件定義の段階から考えることが最も効率的です。後から「セキュリティ対策を足す」工事は、最初から設計に組み込む場合と比べて工数・コストが大きくなりがちです。要件定義で「どの情報を取得するか（最小化）」「誰がアクセスできるか（認証・認可）」「ログをどう残すか」を決めておくことで、開発中の手戻りを減らせます。発注時に開発会社に対して「OWASP Top 10を考慮した設計にしてほしい」と伝えると、認識がそろいやすくなります。

---

この記事は株式会社DnD（業務効率化・DXパートナー）が運営するコラムの転載です。
▶ 初出・全文: https://dnd-inc.jp/blog/member-app-security-check.html
▶ お問い合わせ: https://dnd-inc.jp/contact.html