Milioni di clienti di Burger King in Giappone potrebbero affrontare un rischio aumentato di truffe di phishing dopo che gli hacker hanno accesso a informazioni personali conservate nel sistema ufficiale di app mobile della catena di ristoranti. L’incidente ha coinvolto circa 11,18 milioni di record di iscrizione, rendendolo una significativa violazione dei dati per le operazioni giapponesi dell’azienda.
BK Japan, che gestisce i ristoranti Burger King nel paese, ha reso pubblico l’incidente il 15 ottobre 2026. L’indagine ha stabilito che un accesso non autorizzato si è verificato tra il 2 e il 7 ottobre, con la società che ha confermato la fuga di dati il 13 ottobre.
Le informazioni compromesse includono nomi dei clienti, indirizzi email, numeri di telefono, date di nascita, genere, prefettura di residenza e ID di appartenenza. Campi aggiuntivi esposti indicano le categorie di registrazione, se gli indirizzi email sono stati verificati e se account sono stati utilizzati per ordini da dispositivi mobili.
Tuttavia, l’azienda ha sottolineato che non memorizza i numeri delle carte di credito dei clienti nel sistema interessato. Gli investigatori non hanno inoltre trovato prove che le password di accesso degli account siano state esposte.
Sebbene le credenziali di pagamento non siano state compromesse, i dati personali rubati potrebbero comunque essere utili ai cybercriminali. Qualcuno in possesso del nome, dell’indirizzo email e del numero di telefono di un cliente potrebbe creare messaggi convincenti che si spacciano per Burger King, potenzialmente ingannando i destinatari facendogli visitare siti fraudolenti o divulgare ulteriori informazioni.
BK Japan non ha rivelato come gli attaccanti siano entrati nei suoi sistemi né identificato i responsabili. L’azienda sta collaborando con specialisti esterni in cybersecurity per stabilire la causa e determinare se siano necessarie ulteriori misure di protezione.
Dopo aver scoperto l’intrusione, BK Japan bloccò le comunicazioni dalla fonte di accesso non autorizzata e istituì una squadra di risposta interna. Riferì inoltre l’incidente alla Personal Information Protection Commission del Giappone e iniziò a notificare i clienti interessati via email.