Des millions de clients de Burger King au Japon pourraient être exposés à un risque accru d’arnaques de phishing après que des pirates ont accédé à des informations personnelles stockées dans le système officiel d’applications mobiles de la chaîne de restaurants. L’incident a affecté environ 11,18 millions d’enregistrements d’adhésion, ce qui en fait une violation de données importante pour les opérations japonaises de l’entreprise.
BK Japan, qui exploite des restaurants Burger King dans le pays, a révélé l’incident le 15 octobre 2026. Son enquête a établi qu’un accès non autorisé a eu lieu entre le 2 et le 7 octobre, la société confirmant la fuite de données le 13 octobre.
Les informations compromises incluent les noms des clients, les adresses e-mail, les numéros de téléphone, les dates de naissance, le sexe, la préfecture de résidence et les identifiants de membre. Des champs supplémentaires exposés indiquent les catégories d’inscription, si les adresses e-mail ont été vérifiées, et si des comptes ont été utilisés pour la commande mobile.
Cependant, l’entreprise a souligné qu’elle ne stocke pas les numéros de carte bancaire des clients dans le système concerné. Les enquêteurs n’ont également trouvé aucune preuve que les mots de passe de connexion des comptes aient été exposés.
Bien que les identifiants de paiement n’aient pas été compromis, les informations personnelles volées pourraient tout de même être utiles aux cybercriminels. Quelqu’un possédant le nom, l’adresse e-mail et le numéro de téléphone d’un client pourrait créer des messages convaincants se faisant passer pour Burger King, pouvant potentiellement tromper les destinataires en les forçant à visiter des sites frauduleux ou à divulguer des informations supplémentaires.
BK Japan n’a pas révélé comment les attaquants sont entrés dans ses systèmes ni identifié les responsables. L’entreprise travaille avec des spécialistes externes de la cybersécurité pour en déterminer la cause et déterminer si des mesures de protection supplémentaires sont nécessaires.
Après avoir découvert l’intrusion, BK Japan a bloqué les communications provenant de la source d’accès non autorisée et a mis en place une équipe d’intervention interne. Elle a également signalé l’incident à la Commission japonaise de protection des informations personnelles et a commencé à informer les clients concernés par email.