Burger King Japan hat unbefugten Zugriff auf das System gemeldet, das die Mitgliederdaten seiner offiziellen Smartphone-App verwaltet. Möglicherweise sind rund 11,18 Millionen Datensätze betroffen.
Laut Darstellung von Security Affairs zur Mitteilung des Unternehmens erfolgte der unbefugte Zugriff zwischen dem 2. und dem 7. Oktober 2026. Eine nachträgliche Untersuchung bestätigte den Datenabfluss am 13. Oktober, und Burger King Japan veröffentlichte seine Mitteilung am 15. Oktober.
Die Zahl bezieht sich auf Mitgliedsdatensätze und belegt nicht, dass 11,18 Millionen verschiedene Personen betroffen sind. Den vorliegenden Berichten zufolge lässt sich außerdem nicht belegen, dass jeder potenziell offengelegte Datensatz kopiert oder abgezogen wurde.
Mitglieds- und Kontaktdaten waren gefährdet
Zu den betroffenen Informationen können gehören:
- Mitglieds-IDs
- E-Mail-Adressen
- Namen in japanischen Schriftzeichen und Kana
- Telefonnummern
- Geburtsdaten
- Geschlecht
- Präfektur des Wohnsitzes
- Art der Mitgliedsregistrierung
- Angabe, ob das Mitglied schon Mobile-Bestellungen aufgegeben hat
- Angabe, ob die E-Mail-Adresse verifiziert wurde
Das Feld zu Mobile-Bestellungen zeigt vermutlich nur an, ob ein Kunde diese Funktion schon genutzt hat. Es enthält keinen vollständigen Verlauf einzelner Käufe.
Burger King Japan erklärte, auf dem betroffenen Server seien keine Kreditkartennummern gespeichert gewesen. Zudem wurden nach Angaben des Unternehmens keine Hinweise darauf gefunden, dass Passwörter oder andere Zugangsdaten abgerufen wurden.
Bei Veröffentlichung der Mitteilung hatte das Unternehmen weder missbräuchliche Nutzung noch andere Folgeschäden bestätigt. Das schließt jedoch nicht aus, dass offengelegte Kontakt- und Profildaten später dazu verwendet werden könnten, Phishing-Nachrichten glaubwürdiger zu machen.
Der Zugangsweg ist noch ungeklärt
Burger King Japan stufte den Vorfall als unbefugten Zugriff durch Dritte ein. Den Erstzugangsweg hat das Unternehmen bislang nicht offengelegt, und es hat die Aktivität auch keiner benannten Bedrohungsgruppe zugeordnet.
Nach eigenen Angaben sperrte das Unternehmen den Zugriff aus der Quelle der unbefugten Aktivität, nachdem es davon erfahren hatte. Außerdem informierte es die japanische Kommission für den Schutz personenbezogener Informationen (Personal Information Protection Commission) und beauftragte externe Cybersicherheitsspezialisten mit der Untersuchung, wie der Server angegriffen wurde.
Es wurden provisorische Gegenmaßnahmen umgesetzt. Parallel arbeitet ein Incident-Response-Team an weiteren Untersuchungen und dauerhaften Sicherheitsverbesserungen. Laut der gemeldeten Mitteilung laufen außerdem E-Mail-Benachrichtigungen an betroffene Kunden.
BleepingComputer berichtete, die Daten seien online durchgesickert. Der Bericht nannte jedoch weder den Ort, an dem sie auftauchten, noch Belege für eine öffentliche Verbreitung.
Kunden sollten auf Nachahmungsversuche achten
Burger King Japan rät App-Mitgliedern, bei E-Mails, SMS und Anrufen vorsichtig zu sein, die angeblich vom Unternehmen stammen. Kunden sollten insbesondere keinen unerwarteten Links folgen, keine unaufgefordert zugesendeten Anhänge öffnen und auf solche Nachrichten hin keine Mitgliedsdaten oder Passwörter eingeben.
Da zu den potenziell betroffenen Feldern Namen, Kontaktdaten und Angaben zur Mitgliedschaft gehören, können betrügerische Nachrichten auch zutreffende persönliche Details enthalten. Allein diese Angaben sollten jedoch nicht als Beleg dafür gelten, dass eine Nachricht oder ein Anrufer echt ist.
