要点
- デニーズの公式アプリで、旧アプリから新アプリへ移る仕組みが悪用され、第三者が一部の利用者のアカウントに入れる状態になっていた。
- 漏れたおそれがあるのは、メールアドレス・生年月日・性別・住んでいる都道府県・お気に入り店舗・子どもの誕生日など。
- 何人が当たるかはまだ分かっておらず、デニーズジャパンは対象者が分かりしだい個別に連絡するとしている。
何が起きたか
デニーズジャパンは2026年11月3日、「デニーズアプリ」への不正アクセスについての第一報を出した。狙われたのは、旧デニーズアプリの会員情報を新アプリへ引き継ぐための処理だ。デニーズジャパンの説明では、第三者がこの処理を通じて認証情報（アカウントに入るための鍵にあたるもの）を勝手に作っていた。これにより、旧アプリを使っていた人の一部は、他人にアカウントへ入られうる状態になっていた。
デニーズジャパンが異常に気づいたのは10月30日だ。不審なアクセスを調べていて、旧アプリ向けの認証情報が不正に作られていたと分かった。対応は3つの段階で進んだ。
- まず30日のうちにシステムを改修し、不正な認証情報をこれ以上作れないようにした。
- 次に31日、すでに作られていた分を無効にした。
- さらに11月2日、その後の調査で新たに見つかった分も無効にした。
どの期間に入られたのかも、全体はまだ分からない。調査の結果が出ているのは10月7日のアクセス記録の分だけで、残りの期間は調べている最中だ。
いちばん気になるのは、情報が実際に持ち出されたかどうかだ。ここもまだはっきりしない。分かっていないのは、取られたかどうか、取られたならどの項目か、何人分か、の3点だ。デニーズジャパンによると、個人情報を取り出す処理が実行された履歴は残っている。しかし、その操作をしたのが第三者なのか利用者本人なのかを区別できていないという。
漏れたおそれがあるとされた項目は次の7つだ。
- 会員コード
- メールアドレス
- 生年月日
- 性別
- 住んでいる都道府県
- お気に入り店舗
- キッズバースデー（登録した子どもの誕生日）
一方で、氏名・住所・電話番号・パスワード・クレジットカードの情報は、もともと持っていないと説明している。
日本の利用者への影響
デニーズはファミリーレストランの大手で、アプリはクーポンやポイントの管理に使われている。発表で対象とされたのは「旧デニーズアプリ」を使っていた人の一部だ。新アプリだけを使っている人が対象になるとは書かれていない。
人数は調査中で、まだ分からない。
アプリを開いたときに最初の画面が出て、もう一度ログインを求められることがある。デニーズジャパンによると、これは不正な認証情報を無効にした対策のためで、一部の利用者に起きる。
今すぐやること
- 旧デニーズアプリを使っていたかを思い出す。 使っていたなら、対象に入るおそれがある。デニーズジャパンは、対象者が分かりしだい個別に連絡するとしている。
- 身に覚えのないメールに気をつける。 デニーズジャパンは、身に覚えのないメールなどに注意するよう呼びかけている。デニーズをかたるメールが届いても、メールのリンクからではなく、公式サイトやアプリから確かめる。
- ポイントやクーポンの残りを見ておく。 念のため、身に覚えのない使われ方がないかを見ておくと安心だ。おかしな点があれば、デニーズの公式サイトの問い合わせ窓口に伝える。
- 初期画面に戻ったら、公式の案内に沿ってログインし直す。 これは不正な認証情報を無効にした対策によるもので、デニーズジャパンが案内している。
背景
デニーズのアプリは2026年7月に新しくなり、旧アプリの会員情報を新アプリへ移す仕組みが用意された。今回は、その移行のための処理が狙われたとデニーズジャパンは説明している。原因と影響の範囲は、社内の専門部署とシステム開発会社が調べている。
サービスの作り替えのとき、古い仕組みと新しい仕組みをつなぐ処理は、一時的に作られることが多い。こうした処理は、ふだんのログインより確認が甘くなりやすい。
漏れたおそれがある情報は、氏名や住所を含まないとはいえ、メールアドレスと生年月日、子どもの誕生日の組み合わせだ。これらは、本人らしく見せた偽のメールに使われやすい。
技術者向けの詳細
- 発表元: 株式会社デニーズジャパン「【重要】デニーズアプリへの不正アクセスに関するお詫びとお知らせ（第一報）」2026年11月3日
- 事象: 旧アプリ→新アプリの移行に関するシステム処理を通じて、第三者が旧アプリの認証情報を不正に作成。一部利用者のアカウントへのアクセスが可能な状態だった
- 確認済みのアクセス記録: 2026年10月7日分のみ。ほかの期間は調査中
- 対応: 10月30日に新規作成を防ぐ改修、10月31日・11月2日に不正な認証情報を無効化
- 個人情報を取得する処理の実行履歴はあるが、第三者の操作と本人の操作を区別できていない。取得の有無・項目・人数は調査中
- 対象項目: 会員コード、メールアドレス、生年月日、性別、居住都道府県、お気に入り店舗、キッズバースデー
- 保持していない情報: 氏名、住所、電話番号、パスワード、クレジットカード情報
