バーガーキング公式アプリの不正アクセス（約1,118万件）：氏名・生年月日・電話番号などが漏れた会員がやること

漏えいした項目には、氏名（漢字・カナ）、生年月日、電話番号、メールアドレスが含まれています。これだけそろうと、宛名も生年月日も正しい、本物らしい連絡が作れます。

同社は、同社や同社のサービスを装った不審なメール・SMS・電話に注意し、URLへのアクセス、添付ファイルの開封、会員情報やパスワードの入力をしないよう呼びかけています。たとえば「お詫びクーポン」「モバイルオーダーの返金」「会員情報の再登録」といった名目（当サイトの例）でも、本文のリンクは開かず、自分でアプリを開いて確かめてください（見分け方は フィッシングとは）。

同社は、対象のお客様へのメールによる案内を順次進めているとしています。発表には、そのメールの送信元のアドレスは書かれていません。

メールの送信元の表示は偽装できるため、本物の案内と偽物を見た目で区別するのは困難です。案内メールが届いても、メール内のリンクからログインや入力はしない、という扱いにそろえておくと迷いません。

生年月日は、メールアドレスや電話番号と違って変えられません。今回、氏名と組み合わせた形で漏えいしました。

銀行やクレジットカードの暗証番号、スマホの画面ロック、各種サービスのパスワードに生年月日（「0815」「19900815」など）を使っているなら、今のうちに変えておきます。これは同社の案内ではなく、当サイトの一般的な助言です。

同社は、ログインパスワード情報の漏えいは「現在確認されておりません」としています。発表には、パスワードの変更を求める記載はありません。ただし、これは調査が続いている段階の表現です。

バーガーキングのアプリと同じパスワードを他のサービスでも使っているなら、この機会に分けておきます。棚卸しは パスワードマネージャー に任せるのが現実的です。使い回しているパスワードが過去の漏えいに含まれていないかは パスワード漏えいの確認方法 で調べられます。

電話番号は簡単には変えられません。漏えいした電話番号には、今後もバーガーキング以外の名目を含めて、詐欺の電話やSMSが届く可能性があります。

スマホの迷惑電話・迷惑SMSのフィルター機能を有効にしておくと、届く数を減らせます（設定の考え方は スマホを安全に使う基本）。

同社は、お客様の問い合わせ先としてカスタマーサービス（電話 0120-945-630、メール customerservice@burgerking.co.jp、平日10時〜17時、土日祝日休業）を案内しています。問い合わせ先は、届いた連絡に書かれたものではなく、公式サイトのお知らせに載っているものを使います。

同社によれば、クレジットカード番号は同社で保持しておらず、漏えいしていないとしています。会員情報のシステムが侵害されても、そこに無いものは漏れない、という一般的な考え方の例です。

自分のサービスでも、カード番号は決済代行会社に預け、自社では決済代行会社が返す識別子（トークン）だけを持つ構成にできます。ただし、カード番号を保存していなくても、決済画面が改ざんされると入力の時点で盗まれることがあります（例は PhotoGoodsの事案）。持たないことと、入力画面を守ることは別の対策です。

一般に、会員登録の項目は、キャンペーンや分析のために増えていきがちです。項目ごとに「何の機能で使っているか」を書き出し、使い道が無い項目は登録を求めない、または保存しないようにします。

たとえば誕生日クーポンのためだけに生年月日を持っているなら、誕生月だけで足りるか検討できます。年齢の確認が目的なら、確認の結果だけを残す方法もあります。氏名のカナや性別なども同じように見直せます。

今回の発表には、対象者への案内メールの送信元が書かれていません。一般に、事故の後は偽のお詫びメールが出回りやすく、会員が本物の案内を見分ける手がかりは、事前に公開された送信元の情報くらいしかありません。

事故が起きる前に、会員への重要な連絡に使うドメインと送信元アドレスを決めて公式サイトに載せ、送信ドメイン認証（SPF・DKIM・DMARC）を設定しておきます。設定の考え方は なりすましメールを防ぐSPF・DKIM・DMARC にまとめています。