- 重要度
- 重要度：5段階中4 被害を確認
- 公表日
- 2026.11.03
- 原因の分類
- 認証情報・シークレット、侵入口未公表
- 対策可能性
- 判定保留
この記事の3行まとめ
- デニーズアプリで第三者が不正な認証情報を作り、一部の会員アカウントに入れる状態になった
- 移行処理の中で不正な認証情報が作られ、最初の侵入口は公表されていない
- 身に覚えのないメールのURLや個人情報の入力に注意が呼びかけられている
デニーズジャパンが運営するデニーズアプリで、旧アプリから新アプリへの移行処理の中で第三者が認証情報を不正に作成し、一部のお客様のアカウントにアクセスできる状態になった。会員コード、メールアドレス、生年月日、性別、都道府県、お気に入り店舗、キッズバースデーが漏えいした可能性がある。第三者による取得の有無や対象人数は調査中で、氏名や住所などは保持していないとしている。
確認された経路・公表元の推定
- 旧アプリから新アプリへの移行に関するシステム処理で、第三者が認証情報を不正に作成
- 作成された認証情報で、一部のお客様のアカウントにアクセスできる状態になった
- 10月7日のアクセス記録で個人情報を取得する処理の実行履歴を確認したが、第三者の操作と本人の操作を区別できていない
- 10月30日、不審なアクセスの調査で不正な認証情報が判明し、新規作成を防ぐシステム改修を実施
- 10月31日、確認された不正な認証情報を無効化し、個人情報保護委員会へ速報を報告
- 11月2日、追加調査で確認された不正な認証情報を無効化
根拠の要点
公表元は、移行処理で第三者が認証情報を不正に作成したことを判明事項として説明している。個人情報を取得する処理の履歴は確認されているが、第三者の操作と本人の操作を区別できず、取得の有無は調査中としている。最初の侵入口は記載がない。
資料の基準時点：2026年11月3日時点（第一報、調査継続中）
当時、対策できたのか
判定保留
資料は、不正な認証情報の新規作成を防ぐシステム改修と、確認された認証情報の無効化を実施したと書いている。一方で、攻撃時点の防御条件や欠落していた対策の内容は書かれていないため。
公表された対策
- 10月30日に、不正な認証情報の新規作成を防止するシステム改修を実施
- 確認された不正な認証情報を無効化（10月31日、11月2日）
- 10月31日に個人情報保護委員会へ速報を報告
- 専門部署およびシステム開発会社と連携し、原因究明、影響範囲の特定、再発防止に取り組む
- 対象者を特定でき次第、個別連絡を順次実施
- 身に覚えのないメールのURLや個人情報の入力への注意をお客様に呼びかけ
まだ分からないこと
- 第三者による個人情報の取得の有無、取得された情報の内容、対象人数は調査中
- 10月7日以外のアクセス記録の調査が続いており、影響範囲と漏えいの可能性がある人数は確定していない
- 認証情報を不正に作成するまでに、どこから侵入されたかは資料に書かれていない