Millionen von Burger King-Kunden in Japan könnten einem erhöhten Risiko von Phishing-Betrügereien ausgesetzt sein, nachdem Hacker auf persönliche Informationen zugreifen konnten, die im offiziellen Mobile-App-System der Restaurantkette gespeichert sind. Der Vorfall betraf etwa 11,18 Millionen Mitgliederdatensätze und stellt damit eine erhebliche Datenpanne für die japanischen Geschäftsbereiche des Unternehmens dar.
BK Japan, das Burger King Restaurants im Land betreibt, gab den Vorfall am 15. Oktober 2026 bekannt. Die Untersuchung ergab, dass zwischen dem 2. und 7. Oktober unbefugter Zugriff stattfand, wobei das Unternehmen das Datenleck am 13. Oktober bestätigte.
Die kompromittierten Informationen umfassen Kundennamen, E-Mail-Adressen, Telefonnummern, Geburtsdaten, Geschlecht, Wohnsitzpräfektur und Mitgliedsausweisen. Zusätzliche offene Felder zeigen Registrierungskategorien, ob E-Mail-Adressen verifiziert wurden und ob Konten für mobile Bestellungen genutzt wurden.
Das Unternehmen betonte jedoch, dass es die Kreditkartennummern der Kunden nicht im betroffenen System speichert. Ermittler haben auch keine Hinweise darauf gefunden, dass die Konto-Anmeldepasswörter offengelegt wurden.
Obwohl Zahlungsdaten nicht kompromittiert wurden, könnten die gestohlenen persönlichen Daten für Cyberkriminelle dennoch nützlich sein. Jemand, der den Namen, die E-Mail-Adresse und die Telefonnummer eines Kunden besitzt, könnte überzeugende Nachrichten verfassen, die sich als Burger King ausgeben, wodurch Empfänger möglicherweise betrügerische Webseiten besuchen oder zusätzliche Informationen preisgegeben werden.
BK Japan hat nicht bekannt gegeben, wie die Angreifer in seine Systeme eingedrungen sind oder die Verantwortlichen identifiziert haben. Das Unternehmen arbeitet mit externen Cybersicherheitsspezialisten zusammen, um die Ursache zu ermitteln und festzustellen, ob weitere Schutzmaßnahmen notwendig sind.
Nachdem der Einbruch entdeckt wurde, blockierte BK Japan die Kommunikation der unbefugten Zugriffsquelle und stellte ein internes Einsatzteam ein. Sie meldete den Vorfall auch der japanischen Kommission für den Schutz personenbezogener Daten und begann, betroffene Kunden per E-Mail zu benachrichtigen.