Miljoenen Burger King-klanten in Japan kunnen een verhoogd risico lopen op phishingfraudes nadat hackers toegang kregen tot persoonlijke informatie die in het officiële mobiele app-systeem van de restaurantketen was opgeslagen. Het incident trof ongeveer 11,18 miljoen lidmaatschapsgegevens, waarmee het een aanzienlijke datalek is voor de Japanse activiteiten van het bedrijf.
BK Japan, dat Burger King-restaurants in het land exploiteert, maakte het incident op 15 oktober 2026 bekend. Het onderzoek stelde vast dat ongeautoriseerde toegang plaatsvond tussen 2 en 7 oktober, waarbij het bedrijf het datalek op 13 oktober bevestigde.
De gecompromitteerde informatie omvat de namen van klanten, e-mailadressen, telefoonnummers, geboortedata, geslacht, woonplaats en lidmaatschaps-ID’s. Extra open velden geven registratiecategorieën aan, of e-mailadressen zijn geverifieerd en of accounts zijn gebruikt voor mobiele bestellingen.
Het bedrijf benadrukte echter dat het de creditcardnummers van klanten niet opslaat in het getroffen systeem. Onderzoekers hebben ook geen bewijs gevonden dat inlogwachtwoorden van accounts zijn vrijgegeven.
Hoewel de betaalgegevens niet zijn gecompromitteerd, kunnen de gestolen persoonlijke gegevens toch nuttig zijn voor cybercriminelen. Iemand met de naam, het e-mailadres en het telefoonnummer van een klant kan overtuigende berichten maken waarin ze zich voordoen als Burger King, waardoor ontvangers mogelijk worden misleid om frauduleuze websites te bezoeken of extra informatie te onthullen.
BK Japan heeft niet bekendgemaakt hoe de aanvallers hun systemen zijn binnengedrongen of de verantwoordelijken hebben geïdentificeerd. Het bedrijf werkt samen met externe cybersecurityspecialisten om de oorzaak vast te stellen en te bepalen of verdere beschermende maatregelen nodig zijn.
Na het ontdekken van de inbraak blokkeerde BK Japan de communicatie van de bron van ongeautoriseerde toegang en stelde een intern responsteam op. Het meldde het incident ook bij de Japanse Commissie voor Bescherming van Persoonsgegevens en begon getroffen klanten per e-mail te informeren.