2026年10月、外食の会員データの漏えいが続けて公表されました。10月5日は焼肉きんぐ公式アプリ（漏えいした件数 10,788,963件）と大起水産公式アプリ（174,933人）です。10月8日には第一興商（ビッグエコー・DKダイニングなど）が約8,724,000件のおそれを、10月13日には宅配の銀のさら・釜寅・すし上等が最大 約650万件の可能性を公表しました。銀のさらは10月7日から公式サイトとアプリの注文を止めており、10月14日時点でも再開していません。
外食の被害は10月に始まったものではありません。春にはアルバイト応募者や予約客の情報、夏には物流委託先の障害による品切れや営業時間の短縮、秋にはアルバイト採用サービス経由の漏えいが公表されています。本記事では、2026年に公表された外食・飲食業の主な事例10件を時系列で整理し、何が漏れ、店舗や注文がどう止まったかを公表資料に基づいてまとめます。そのうえで、事例に共通する傾向と、外食企業が優先すべき対策を解説します。
※本記事の事実関係は2026年10月14日時点の各社の公表資料に基づきます。件数は公表文の表現（最大・約・可能性）のまま記載し、別々の会社の件数は合算していません。報道のみで公式資料にない情報は使っていません。攻撃者の名称は記載していません。
1. 外食が狙われる理由：会員アプリ・宅配注文・アルバイト採用
外食企業は、業態のわりに大量の個人情報を持っています。1つ目は公式アプリの会員データです。クーポンやポイントのためにアプリへ登録してもらうので、来店客の氏名・メールアドレス・電話番号が数十万から1,000万件を超える規模で1か所に集まります。2つ目は宅配・テイクアウトの注文データで、住所や家族の名前、注文履歴まで含みます。3つ目はアルバイトの応募者データです。店舗数が多く採用が途切れないため、応募者の情報が採用サービス上に積み上がります。
もう1つの特徴は、止まるとその日の売上に響くことです。注文システムや食材の配送が止まると、店舗は品切れや営業時間の短縮で対応するしかありません。2026年の事例でも、宅配の注文停止や、物流委託先の障害による品切れが起きています。
2. 2026年に公表された外食・飲食の主な事例（時系列）
2026年1月から10月14日までに公表された主な事例を、公表日の順に並べます。
公表日（確認日） | 会社・ブランド | 何が起きたか | 主な影響（公表文の表現） |
|---|---|---|---|
3月26日 | ジョイフル | 委託先（ザイナス）のサーバーへのサイバー攻撃 | 従業員（応募した求職者を含む）とその関係者 23,585名の情報に漏えいのおそれ |
3月27日 | ゼットン（店舗「forty three」） | 店舗PCのマルウェア感染から旧メールアカウントに不正ログイン | 予約客などの情報 総数18,553件に流出の可能性 |
7月13日（7月22日に通常営業を再開） | 日本KFC | 食材配送を委託する物流会社で、不正アクセスによるシステム障害 | 商品の一部品切れ、販売メニューの制限、営業時間の短縮 |
7月15日 | くら寿司 | 取引先への不正アクセスによるシステム障害 | 寿司ネタ・冷凍食品などの配送の遅れ・未着、一部商品の欠品 |
（7月29日に確認） | 宮本むなし お持ち帰り注文サイト | 注文サイトへの不正アクセス | 最大1,895件（1,030名）に流出の可能性。サイトを一時停止 |
9月24日〜10月2日 | ダイナック、井筒まい泉、吉野家・はなまる、鳥貴族、ワンダーテーブル | アルバイト採用を委託していたApplyNowへの不正アクセス | 応募者の情報が漏えい。吉野家4,998件、はなまる368件。ほかの3社は件数を公表していない |
10月5日 | 大起水産 公式アプリ | 第三者による不正アクセス | 174,933人（退会者を含む）の情報に漏えいの可能性 |
10月5日 | 焼肉きんぐ 公式アプリ（物語コーポレーション） | 会員管理システムへの不正アクセス | ユーザー登録数10,808,784件のうち、漏えいした件数は10,788,963件 |
10月7日〜13日 | 銀のさら・釜寅・すし上等（ライドオンエクスプレスHD） | 利用するサーバーへの不正アクセスと、サーバー運営会社のランサムウェア被害 | 最大 約650万件に漏えいの可能性（確定した件数ではない）。公式サイト・アプリの注文を停止 |
10月8日 | 第一興商（ビッグエコー、DKダイニングほか） | 委託先（日本コロムビアグループ）の従業員PC1台がマルウェアに感染 | 約8,724,000件に漏えいのおそれ |
3. 主要事例の詳細：何が漏れ、何が止まったか
焼肉きんぐ・大起水産：公式アプリの会員データがほぼ丸ごと対象に
物語コーポレーションによると、10月2日に焼肉きんぐ公式アプリの会員管理システムへの不正アクセスを確認し、通信の遮断などの措置をとりました。10月3日に漏えいを確認し、10月5日に公表しています。漏えいした件数は10,788,963件で、ユーザー登録数10,808,784件のほぼすべてです。項目は会員番号、氏名（アプリ登録名）、メールアドレス、電話番号です。ログインパスワード、生年月日、店舗利用履歴は漏えいしておらず、クレジットカードなどの決済情報は同社で保持していないとしています。経路は調査中です。詳しくは焼肉きんぐアプリ不正アクセス（2026年10月）10,788,963件の情報漏えい：漏れた情報・漏れていない情報と企業が学ぶ教訓で整理しています。
同じ10月5日には、回転寿司や鮮魚店を運営する大起水産も公式アプリへの不正アクセスを公表しました。対象は2024年11月1日から2026年9月15日までにアプリに登録した174,933人で、退会者を含みます。項目は氏名、電話番号、メールアドレス、性別、郵便番号、住所、生年月日です。パスワードは別のサーバーで管理しており対象外です。9月15日に確認し、公表まで約3週間でした。
2社に共通するのは、会員データが1つのデータベースにまとまっていたため、侵入されると登録者全員分が対象になったことです。退会者のデータも残っていました。一方で、パスワードを別に管理していたことや、決済情報を自社で持たなかったことで、被害の範囲は抑えられています。
銀のさら・釜寅・すし上等：サーバー運営会社のランサムウェアで宅配の注文が止まる
ライドオンエクスプレスホールディングスによると、10月5日以降、利用するサーバーへの第三者による不正アクセスを検知して調査を始めました。10月7日の早朝には一部のサーバーで障害が起き、サーバーの運営会社からランサムウェア攻撃を受けたとの発表と報告を受けて、システムを停止しています。運営会社に保管を委託していたデータは、取り出しや復元が困難との報告を受けました。運営会社の社名は公表されていません。
漏えいの可能性があるのは最大 約650万件で、同社は「個人情報漏えいが確定した件数ではありません」としています。項目は氏名、住所、電話番号、メールアドレス、性別、生年月日、パスワードのハッシュ値、注文履歴、デリポイント会員IDです。家族や届け先の情報を入力していた場合は、それらも対象になり得ます。出前館・Uber Eats・電話だけで注文した客は対象外で、クレジットカード情報は同社で保有していません。
営業への影響が長引いている点がこの事例の特徴です。10月7日から公式サイト・アプリでの注文を止め、電話注文、店頭のテイクアウト、出前館・Uber Eatsで営業を続けています。10月13日の第3報の時点で再開の見通しは立っておらず、10月14日時点でも公式サイトとアプリは使えない状態です。
ビッグエコー・DKダイニング（第一興商）：委託先のPC1台から約872万件
第一興商によると、個人情報を扱う業務を委託していた日本コロムビアグループで、10月1日から2日にかけて従業員のPC1台がマルウェアに感染しました。そのPCには、委託した業務の個人データが一時的に保管されていました。漏えいのおそれがあるのは約8,724,000件で、内訳はビッグエコー関連 約5,558,000件、DKダイニング関連 約3,462,000件、従業員 約93,000件などです。項目は氏名（登録名）、性別、生年月日、メールアドレス、電話番号です。
パスワードは含まれておらず、この情報だけではポイントを使えないとしています。第一興商自身のシステムへの影響も確認されていません。それでも、店舗で会員登録や予約をした客の情報が、委託先の社員の端末1台に一時的に置かれていたことで、800万件を超える規模の事故になりました。同社は委託先管理のあり方を検証するとしています。
宮本むなし：テイクアウト注文サイトへの不正アクセス
宮本むなしのお持ち帰り注文サイトでは、7月29日に第三者による不正アクセスが確認されました。2026年3月から7月にサイトで注文した客（キャンセルやゲスト注文を含む）の最大1,895件（1,030名）について、氏名、電話番号、メールアドレス、注文内容が流出した可能性があります。決済は外部の決済代行サービスを使っており、カード情報は対象外です。サイトの運営は外部のシステム会社に委託しており、サイトは直ちに一時停止されました。
吉野家・鳥貴族ほか：採用サービス経由でアルバイト応募者の情報が漏えい
アルバイトの採用面接などを請け負うApplyNowは、データ分析ツールの脆弱性を突かれ、2026年8月9日から9月7日まで不正アクセスを受けていました。同社は10月9日の追記で、対象データが約39万人と公表しています。これを受けて、9月24日のダイナックから10月2日のワンダーテーブルまで、外食5社が自社への応募者の情報の漏えいを公表しました。
吉野家ホールディングスの公表文には、2024年6月に委託を終えた後も、本来削除されるべき応募者の情報がApplyNowのデータベースに残っていたと書かれています。対象は吉野家4,998件、はなまる368件と、採用担当者のアカウント418件です。委託を終えたときにデータの削除を確認していなかったことが、契約終了から2年以上たってからの漏えいにつながりました。
3月にはジョイフルも、業務を委託していたザイナスのサーバーがサイバー攻撃を受け、データベースの一部が削除されたと公表しています。対象は従業員（応募した求職者を含む）とその関係者 23,585名です。顧客ではなく、働く人と応募者の情報も委託先に預けられていることが分かります。
ゼットン：店舗PCの感染から、メールアカウントを5か月乗っ取られる
ゼットンによると、2025年9月18日に店舗「forty three」のPC1台がマルウェアに感染し、そのPCで使っていた旧メールシステムのアカウントの認証情報が盗まれました。11月27日から海外からの不正ログインが続き、アカウントから複数の宛先にメールが送られていました。気づいたのは2026年2月18日で、店舗の従業員が不審なメールを報告したことがきっかけです。対象は予約客、取引先、従業員などの総数18,553件で、氏名、住所、電話番号、メールアドレス、アレルギー情報、予約内容などに流出の可能性があります。すでに運用を終えていた旧システムのアカウントでした。
日本KFC・くら寿司：取引先・物流への攻撃で店舗に品切れ
7月には、外食企業自身ではなく取引先が攻撃を受け、店舗の営業に影響が出ました。日本KFCは、食材配送を委託している物流会社で不正アクセスによるシステム障害が起き、商品の一部品切れ、販売メニューの制限、営業時間の短縮が発生しました。全店で通常営業に戻ったのは7月22日です。くら寿司も7月15日、取引先への不正アクセスの影響で寿司ネタや冷凍食品の配送に遅れや未着が出て、一部商品が欠品したと公表しています。両社とも取引先の社名は公表していません。
4. 事例に共通する4つの傾向
傾向1：10件中6件は、侵入された場所が自社の外
採用サービス（ApplyNow）、業務の委託先（ザイナス）、個人情報を扱う委託先（日本コロムビアグループ）、サーバーの運営会社（銀のさら）、物流会社・取引先（KFC・くら寿司）と、10件中6件は外部が入口でした。外食企業は店舗の運営に集中し、システムや採用、物流を外に任せることが多いため、委託先の事故がそのまま自社の事故になります。2026年10月には外食以外でも委託先・クラウド経由の被害が相次いでおり、IDCフロンティア・SpeeCAN・Communeの不正アクセス 影響を受けた企業・自治体一覧【2026年10月】で整理しています。
傾向2：アプリの会員データは「全員分」が対象になる
焼肉きんぐは登録数のほぼ全件、大起水産は約2年間の登録者全員（退会者を含む）、銀のさらは最大約650万件と、会員データベースへの侵入は登録者全員の事故になりました。漏れた項目は氏名・メールアドレス・電話番号が中心です。一方で、どの社もクレジットカード情報は自社で持たず、パスワードも「漏えいなし」「別のサーバー」「ハッシュ値」のいずれかでした。持たない・分けるという設計は、被害の大きさを実際に左右しています。
傾向3：止まると売上に直結し、復旧に時間がかかる
銀のさらは公式サイトとアプリの注文が10月7日から1週間止まったままで、電話や外部の宅配サービスに頼っています。KFCは品切れと営業時間の短縮が7月22日まで続き、くら寿司も欠品が出ました。外食では、システムの停止が個人情報の問題より先に、目に見える営業の問題として表れます。
傾向4：店舗や委託先の1台の端末が入口になり、気づくのが遅れる
ゼットンは店舗のPC1台、第一興商は委託先のPC1台の感染が発端でした。ゼットンでは感染から発覚まで約5か月かかっています。確認から公表までの日数も、焼肉きんぐの3日から、ジョイフルの約2か月まで幅があります。
5. 外食企業が優先すべき対策（優先順）
- 個人情報を預けている先の一覧を作る：アプリ開発・会員管理、注文システム、採用サービス、予約サイト、物流など、顧客・従業員・応募者のデータを預けている委託先と、その先のサーバー運営会社までを把握します。
- 委託を終えたらデータの削除を確認する：吉野家の事例のように、契約が終わっても委託先にデータが残っていれば漏えいの対象になります。削除の証明を受け取るところまでを契約終了の手続きに入れます。
- 会員データを持ちすぎない・分けて持つ：退会者のデータの保存期間を決め、パスワードや決済情報は会員データと別に管理するか、外部の決済代行に任せます。
- アプリ・注文サイトの管理画面と公開APIを点検する：会員管理システムや注文サイトの管理画面に多要素認証を入れ、アプリから使うAPIの認証や既知の脆弱性を外部から確認します。
- 店舗PCとメールアカウントを管理する：店舗の共用PCにもウイルス対策と更新を行き渡らせ、使わなくなったメールアカウントや旧システムは止めます。メールには多要素認証を入れます。
- 注文が止まったときの代わりを決めておく：銀のさらは電話注文と外部の宅配サービスで営業を続けました。自社の注文システムが止まった場合の受付手段と、客への知らせ方を事前に決めておきます。
管理画面の認証については多要素認証（MFA）の導入ガイド【2026年版】種類・設定・運用のポイントで、事故が起きたときの初動はインシデントレスポンスとは？初動対応・手順・体制構築ガイド【2026年版】で解説しています。
6. よくある質問（FAQ）
Q. 自分の情報が含まれているかは、どうすれば分かりますか？
A. 各社は対象者に個別にメールなどで連絡するとしています。焼肉きんぐ・大起水産・第一興商・銀のさらは、それぞれの公式サイトに案内を載せています。お詫びや補償を名乗るメールが届いても、メール内のリンクは開かず、公式サイトを自分で開いて確かめてください。漏れた情報の中心はメールアドレスと電話番号なので、偽のメールやSMS、電話に注意が必要です。
Q. 小さな飲食店でも同じ対策が必要ですか？
A. 必要です。ゼットンの事例は1店舗のPC1台から始まりました。予約や問い合わせのメール、テイクアウトの注文サイト、採用サービスなど、規模が小さくても外部のサービスに顧客や応募者の情報を預けているはずです。使っているサービスの一覧と、管理画面やメールの多要素認証から始めてください。
Q. 委託先で起きた事故でも、外食企業が公表するのはなぜですか？
A. 個人情報保護法では、個人データの扱いを外部に委託しても、委託した事業者が監督する責任を負います。漏えいのおそれがあるときの個人情報保護委員会への報告と本人への通知も、データを預けた事業者の義務です。今回の事例でも、第一興商や吉野家などが委託先の事故を自社で公表し、報告しています。
7. 参考情報（一次情報）
- 物語コーポレーション 焼肉きんぐ公式アプリへの不正アクセスに関する公表（2026年10月5日）、適時開示（同日）
- 大起水産 大起水産公式アプリへの不正アクセスに関する公表（2026年10月5日、6日更新）
- ライドオンエクスプレスホールディングス 公式サイト・公式アプリ停止のお知らせ（2026年10月7日・8日）、サイバー攻撃による個人情報漏えいの可能性に関するお詫びとお知らせ（第3報、10月13日）、適時開示（10月8日・13日）
- 第一興商「委託先における個人情報漏えいのおそれについて」（2026年10月8日）、お問い合わせ窓口開設のお知らせ（10月9日）
- 宮本むなし お持ち帰り注文サイトへの不正アクセスに関するお知らせ（公表日の記載なし。7月29日に確認）
- ApplyNow 不正アクセスに関する公表（2026年9月9日、10月9日追記）、吉野家ホールディングス・吉野家・はなまる（9月30日）、ダイナック（9月24日）、井筒まい泉（9月25日）、エターナルホスピタリティジャパン（10月1日）、ワンダーテーブル（10月2日）の各公表
- ジョイフル 委託先へのサイバー攻撃に関する公表（2026年3月26日。現在は同社サイトに掲載されていません）
- ゼットン 旧メールシステムへの不正アクセスに関する公表（2026年3月27日）
- 日本KFC 通常営業再開のお知らせ（2026年7月22日）、くら寿司 一部店舗での商品の欠品・配送遅延に関するお詫びとお知らせ（7月15日）
AEVUSの外食・飲食業向けセキュリティ支援
AEVUSは、会員アプリや注文サイトを運営する外食企業に対して次の支援を提供しています。
- ペネトレーションテスト・脆弱性診断：公式アプリが使うAPI、注文サイト、会員管理システムの管理画面を攻撃者の視点で検証し、会員データまで届く経路を特定します
- ダークウェブ監視：会員や従業員のメールアドレス・認証情報が外部に出回っていないかを継続的に監視します
- SOC・インシデント対応：不審なログインや大量のデータ取得を監視し、店舗PCの感染や委託先の事故を含めた初動対応を支援します
「会員データがどこに、どれだけあるか」の把握から始めたい外食企業は、ペネトレーションテスト、ダークウェブ監視、SOCサービスのページをご覧いただくか、お問い合わせフォームからご相談ください。
まとめ
- 2026年10月、焼肉きんぐ（10,788,963件）、大起水産（174,933人）、第一興商（約8,724,000件のおそれ）、銀のさら（最大約650万件の可能性）と、外食の会員データの漏えいが続けて公表された
- 10件中6件は、採用サービス・システム開発・個人情報の委託先・サーバー運営会社・物流会社など、自社の外が入口だった。吉野家の事例では委託終了後もデータが残っていた
- アプリの会員データは登録者全員分が対象になる。カード情報を持たない、パスワードを分けて持つ設計が被害の範囲を抑えた
- 止まると売上に直結する。銀のさらは10月14日時点で注文停止が1週間続き、KFCは物流委託先の障害で品切れと営業時間の短縮が出た
- 優先順位は、預け先の一覧 → 委託終了時のデータ削除の確認 → 会員データの最小化と分離 → 管理画面とAPIの点検 → 店舗PCとメールの管理 → 注文停止時の代替手段
