何が起きたか（公式発表の範囲で）
物語コーポレーション株式会社は2026年10月5日、傘下の「焼肉きんぐ」公式アプリの会員管理システムへの不正アクセスによる個人情報漏洩を公表しました。以下は同社の公式発表に基づく事実です。
- 2026年10月2日に会員管理システムへの不正アクセスを確認
- 翌3日に会員情報の漏洩を把握。通信の遮断と防御措置を実施
- 10月5日に事案を公表。個人情報保護委員会への報告を進めていると説明
- 漏洩件数は約1,078万8,963件。アプリ登録者の大部分が対象
- 漏洩した情報：会員番号、氏名（アプリ登録名）、メールアドレス、電話番号の4項目
- 漏洩していない情報：ログインパスワード、生年月日、性別、郵便番号、保有ポイントを含む店舗利用履歴、クレジットカード等の決済情報
10月20日の続報では、外部専門企業と連携した追加のセキュリティ対策・監視体制強化の実施と、グループ傘下11ブランドの公式アプリ全体で保持する個人情報を必要最小限に削減する方針が発表されました。
公式発表の時点で不正アクセスの手口・原因の詳細は公表されていません。本稿も公式発表の範囲に限って事実を整理しています。
中小企業の顧客管理システムに共通する3つの課題
「大企業のシステムが被害を受けた事件」と受け取ると、自社との距離が遠く見えます。しかし、顧客向けのシステムを持つ中小企業には、この事案から引き出せる3つの共通点があります。
課題1：顧客の個人情報を保有している
予約システム・ECサイト・ポイント管理・会員登録フォーム——これらを持つ会社は、顧客の氏名・メールアドレス・電話番号を保有しています。件数が数百件であっても、個人情報保護法上の「個人情報取扱事業者」として一定の義務を負います。2022年の法改正により、1,000件を超える漏洩や不正の目的による漏洩のおそれがある場合は、個人情報保護委員会への報告と本人への通知が義務付けられています。
課題2：外部に公開しているシステムがある
顧客がアクセスできるシステムは、言い換えると外部から直接アクセスできるシステムです。スマートフォンアプリのバックエンド、ECサイトのAPIエンドポイント、Web予約システムの管理画面——これらはインターネット上に「入口」を持ちます。入口の認証・認可が不十分な場合、大企業・中小企業を問わず悪用される経路になります。
課題3：「使っていない情報」を保有し続けている
物語コーポレーションが10月20日の続報で「保有情報の最小化」を方針として打ち出したことは注目点です。多くのシステムは、当初「あったほうがいい」として取得した情報を、利用しないまま蓄積し続けています。保持する情報が多いほど、漏洩した場合の影響範囲が広がります。「取得しない情報は漏洩しない」——これは技術的な対策と並ぶ、本質的なリスク低減の考え方です。
自社で今日から確認できる5つの項目
以下は、顧客向けのシステムを持つ中小企業が、技術的な専門知識なしに確認できる5項目です。全てに「はい」と言えない項目は、優先して状況を把握することをお勧めします。
| # | 確認項目 | 確認のポイント |
|---|---|---|
| ① | 保有情報の棚卸し | どのシステムにどの個人情報が入っているか把握できているか。登録フォームで取得している項目は業務上本当に必要か。 |
| ② | 外部システムの認証状況 | 外部から利用されるAPI・Webシステムに適切な認証（APIキー管理・OAuth・セッション管理など）が設定されているか。開発当時のままで長期間変更されていないパスワードや認証情報がないか。 |
| ③ | 管理画面のアクセス制御 | 管理者権限を持つアカウントは必要最小限の人数に絞られているか。退職者・業務委託終了者のアカウントが残っていないか。IPアドレス制限や二要素認証が設定されているか。 |
| ④ | アクセスログの保存と確認 | いつ・誰が・どのデータに触ったかのログが残っているか。ログは定期的に確認されているか。異常なアクセス（時間帯・件数・IPアドレス）を検知する仕組みはあるか。 |
| ⑤ | 漏洩発覚時の対応フロー | 不正アクセスを発見した場合に、誰が・何を・どの順番でするかを決めているか。個人情報保護委員会への報告フローや、顧客への通知手段が整備されているか。 |
この5項目は、システムの構造を熟知していなくても、担当者や開発会社に確認を求めることで把握できます。「ログが残っているか聞いてみる」「管理者アカウント一覧を出してもらう」から始めるだけでも、現状の把握が進みます。
開発・改修でセキュリティを組み込む進め方
5項目を確認して課題が見えた場合、あるいは新しいシステムを開発・導入する場合、セキュリティを後から足すのではなく設計の段階から組み込む進め方が工数・コストの両面で効率的です。
ステップ1：現行システムの棚卸しと優先度付け
まず「どのシステムが何の情報を持っているか」を整理します。外部に公開されているシステム（インターネット経由でアクセスできるもの）を優先リストに挙げ、保有情報の種類・件数・アクセス権限の状況を確認します。この棚卸しは、開発会社に依頼する前に自社内で行える作業です。
ステップ2：既存システムの設定・認証の見直し
棚卸しの結果をもとに、管理画面の二要素認証の設定、不要なアカウントの削除、ログ保存の設定有効化など、コードを変更せずに対応できる項目から着手します。この段階で、開発会社やサービス提供者にシステムの設定状況の確認を求めることも有効です。
ステップ3：設計・開発フェーズでのセキュリティ要件の明文化
新規開発や既存システムの大幅な改修を行う場合は、要件定義の段階でセキュリティ要件を明記します。「取得する個人情報を最小限にする」「認証方式の仕様を明示する」「ログの保存期間と確認方法を定める」という3点を発注仕様書に含めることで、開発会社との認識のズレを防げます。
セキュリティは完成後に足すものではなく、最初から「設計に組み込むもの」として扱うことで、後からの改修コストを大幅に抑えられます。
小さく始める場合のスモールスタートは「まず管理画面の二要素認証だけ設定する」「まず不要なアカウントを整理する」のように、1つの改善から着手することです。全体を一度に直そうとする必要はありません。確認→対処→記録のサイクルを積み重ねていくことが、持続可能なセキュリティ管理につながります。
よくある質問
中小企業でも不正アクセスのターゲットになりますか？
個人情報漏洩が発覚した場合、個人情報保護委員会への報告は義務ですか？
既存の顧客管理システムのセキュリティ確認はどこから始めればよいですか？
新しいシステムを開発するとき、セキュリティはいつ考えればよいですか？
出典：物語コーポレーション株式会社「『焼肉きんぐ』公式アプリ 会員管理システムへの第三者からの不正アクセスによる個人情報漏えいに関するお詫び」（2026年10月5日）、同経過報告（2026年10月20日）
関連記事：タイムズカーの個人情報漏えいから考える、古いシステムの点検と刷新｜自社で確認できる10項目
株式会社DnDでは、業務システム・Webシステム・アプリの受託開発と、既存システムの点検（ソースコードの確認。対象システムの権利者からのご依頼に限ります）をご支援しています。「自社のシステムが外部からどう見えるか把握したい」「セキュリティを考慮した新しいシステムを作りたい」という段階からご相談ください。AIによる業務変革（AX）と組み合わせた自動化・効率化のご提案もお受けしています。