[ITmedia ビジネスオンライン] バーガー買うのに、個人情報は必要か？ “メガ漏えい”で露呈した「データ持ち過ぎ」問題、先進企業の対策は

FP技能士センター正会員。中央大学卒業後、フィンテックスタートアップにて金融商品取引業者の設立や事業会社向けサービス構築を手がけたのち、広告DX会社を創業。サム・アルトマン氏創立のWorld財団における日本コミュニティスペシャリストを経てX Capital株式会社へ参画。

　ハンバーガーを1つ注文するのに、生年月日や性別、氏名は本当に必要なのだろうか。

　ハンバーガーチェーン「バーガーキング」を運営するビーケー・ジャパンは10月15日、公式アプリの会員情報約1118万件が不正アクセスによって漏えいしたと公表した。

　漏えいした情報にはアプリ会員の氏名や電話番号、メールアドレスに加え、生年月日、性別、都道府県が含まれる。一方で、クレジットカード番号は「当社で保持しておらず、漏えいしておりません」としている。

バーガーキング公式アプリの会員情報約1118万件が不正アクセスによって漏えいした（撮影：編集部）

　その10日前には、焼肉チェーン「焼肉きんぐ」を運営する物語コーポレーションが、公式アプリの会員情報1078万8963件の漏えいを公表していた。9月下旬から、カーシェアの「タイムズカー」のアカウント情報が約660万件、コンビニ大手ローソンの「ローソンID」が約215万件、旅行予約サービス「skyticket」を利用した顧客の情報約1464万件と、大規模な漏えい事案の公表が毎日のように続いている。

　しかし、こうした漏えい事案のほとんどのケースで「クレジットカード番号」のような決済情報は無事だった。理由は単純で、最初から持っていなかったからだ。サイバー攻撃を行う側のコストが限りなく下がっている時代において、サービス事業者側に「個人情報を持たない」という戦い方が広がっている状況に注目したい。

不正アクセスが多発　攻撃手法「A2B」とは何か

　情報通信研究機構（NICT）は10月13日、相次ぐ漏えいの原因の一つとして、公開されているスマートフォンアプリを解析し、その結果を使ってサーバを攻撃する手口を確認したと注意喚起した。

　同機構の脅威情報分析チーム「LETTICE」によると、攻撃者は公開されているAndroidアプリなどを解析して、サーバとの通信経路を確認し、攻撃を組み立てるという。

　この手口は「A2B攻撃」（App-to-Backend Attack）と呼ばれるものだ。アプリ自体に脆弱（ぜいじゃく）性がなくても、サーバ側の認証などに不備があれば情報漏えいにつながる可能性があるという。

　LETTICEは、AIを悪用することで、プログラムの解析や脆弱性の探索が効率化されていると指摘。こうした攻撃がより多くのシステムに及ぶ可能性があるとして、注意を呼び掛けている。

A2B攻撃の流れ（出所：NICTの注意喚起）

　当然、守りを固めることが欠かせない。しかし、AIによって攻撃コストが低下すると同時に、攻撃の手法が多様化していく状況を踏まえると、防御側のコストが大きく膨らむことになるだろう。