デニーズの旧アプリで認証情報を不正作成、個人情報流出の可能性

何が起きたのか

デニーズジャパンは2026年11月3日、デニーズアプリへの不正アクセスについて第一報を出し、一部のお客様の個人情報が外部に漏えいした可能性があると公表しました。

旧アプリから新アプリへ移行するシステム処理で、第三者が認証情報（本人であることを確かめるための情報）を不正に作成していました。これにより、一部のお客様のアカウントにアクセスできる状態になっていました。どのような手口で作成されたのかは公表されていません。

10月30日に、不審なアクセスの調査の中で分かりました。個人情報を取得するための処理が実行された履歴は確認されていますが、記録の上では、第三者の操作とお客様ご自身の操作を区別できていません。そのため、第三者が実際に取得したか、どの情報がどれだけ取られたか、対象は何人かは、いまも調査中です。

漏れた情報

対象の可能性があるのは、旧アプリを使っていたお客様の一部で、人数は調査中です。

漏えいした可能性のある項目は、アプリ会員コード、メールアドレス、生年月日、性別、住んでいる都道府県、お気に入り店舗、キッズバースデーです。同社は、氏名、住所、電話番号、パスワード、クレジットカード情報を保持していないとしています。

確認できているのは10月7日のアクセス記録の調査結果だけで、ほかの期間は調査を進めています。全体の範囲や人数は確定していません。

会社の対応

経過は次のとおりです。

• 10月30日：認証情報が不正に作られていたと判明し、同じ日に、新しい不正な認証情報を作れないようにシステムを改修
• 10月31日：確認された不正な認証情報を無効化し、個人情報保護委員会へ速報を報告
• 11月2日：追加の調査で見つかった不正な認証情報も無効化

今回の対策のため、一部のお客様では、アプリを起動したときに初期画面が表示され、もう一度ログインが必要になる場合があります。

対象の可能性があるお客様には、対象者を特定でき次第、個別に連絡します。調査で新しい事実が分かれば、ホームページなどで知らせます。

お客様向けには、同社や関係機関を装った不審なメールが送られる可能性は否定できないとして、身に覚えのないメールに書かれたURLを開いたり、個人情報を入力したりしないよう呼びかけています。問い合わせは、デニーズアプリカスタマーセンターの問い合わせフォームで受け付けています。報道関係者の窓口は、広報が別にあります。

中小企業が学べること

アプリやシステムの作り替えでは、旧環境から新環境へデータやアカウントを移すための処理が一時的に作られます。移行用の処理は、本番の機能とは別に用意されることがあり、点検から外れていないかを確かめたい場所です。この件でも、攻撃の入口になったのは移行の処理でした。

自社でアプリや会員サイトの作り替えがあるときは、開発会社に次のことを聞いておけます。

• 移行のために作った処理や入口の一覧と、いつ止めるか。終わった後は、止めるか削除する
• 移行用の処理が、本人確認を通らずに認証情報を作ったり、情報を返したりできない作りか
• 本人の操作と、それ以外の操作を見分けられる記録が残っているか。この件では区別できなかったため、取られた範囲を確かめるのに時間がかかっています

持たなくてよい項目を持たない設計も、漏れたときの範囲を狭めます。同社が保持していないとする氏名や電話番号は、今回の項目に入っていません。自社の会員情報も、使っていない項目がないか見直せます。