Millones de clientes de Burger King en Japón podrían enfrentarse a un mayor riesgo de estafas de phishing después de que hackers accedieran a información personal almacenada en el sistema oficial de aplicaciones móviles de la cadena de restaurantes. El incidente afectó aproximadamente a 11,18 millones de registros de membresía, lo que lo convierte en una brecha de datos significativa para las operaciones japonesas de la empresa.
BK Japón, que opera los restaurantes Burger King en el país, reveló el incidente el 15 de octubre de 2026. Su investigación estableció que se produjo acceso no autorizado entre el 2 y el 7 de octubre, y la empresa confirmó la filtración de datos el 13 de octubre.
La información comprometida incluye nombres de clientes, direcciones de correo electrónico, números de teléfono, fechas de nacimiento, género, prefectura de residencia y identificadores de membresía. Campos adicionales expuestos indican categorías de registro, si se verificaron direcciones de correo electrónico y si se han utilizado cuentas para pedidos móviles.
Sin embargo, la empresa recalcó que no almacena los números de tarjetas de crédito de los clientes en el sistema afectado. Los investigadores tampoco han encontrado pruebas de que se hayan expuesto las contraseñas de acceso de la cuenta.
Aunque las credenciales de pago no fueron comprometidas, los datos personales robados podrían seguir siendo útiles para los ciberdelincuentes. Alguien que posea el nombre, dirección de correo electrónico y número de teléfono de un cliente podría crear mensajes convincentes que se hagan pasar por Burger King, lo que podría engañar a los destinatarios para que visiten sitios web fraudulentos o revelen información adicional.
BK Japón no ha revelado cómo los atacantes accedieron a sus sistemas ni identificó a los responsables. La empresa está trabajando con especialistas externos en ciberseguridad para determinar la causa y determinar si son necesarias medidas de protección adicionales.
Tras descubrir la intrusión, BK Japan bloqueó las comunicaciones de la fuente de acceso no autorizado y estableció un equipo interno de respuesta. También informó del incidente a la Comisión de Protección de la Información Personal de Japón y comenzó a notificar a los clientes afectados por correo electrónico.