Burger King Japón ha revelado un acceso no autorizado al sistema que gestiona la información de socios de su aplicación oficial para teléfonos inteligentes, lo que podría dejar expuestos unos 11,18 millones de registros.
Según la versión de Security Affairs sobre el comunicado de la empresa, el acceso no autorizado se produjo entre el 2 y el 7 de octubre de 2026. Una investigación posterior confirmó la filtración el 13 de octubre, y Burger King Japón publicó su comunicado el 15 de octubre.
La cifra se refiere a registros de socios y no permite afirmar que 11,18 millones de personas distintas se hayan visto afectadas. Tampoco muestran los informes disponibles que cada uno de los registros potencialmente expuestos haya sido copiado o extraído.
Los datos de socio y de contacto estaban en riesgo
La información afectada puede incluir:
- Identificadores de socio
- Direcciones de correo electrónico
- Nombres escritos en caracteres japoneses y en kana
- Números de teléfono
- Fechas de nacimiento
- Sexo
- Prefectura de residencia
- Tipo de registro de socio
- Si el socio tiene historial de pedidos desde el móvil
- Si la dirección de correo electrónico ha sido verificada
El campo de pedidos desde el móvil parece indicar si el cliente ha usado esa función, y no ofrece un historial completo de las compras individuales.
Burger King Japón afirmó que los números de tarjetas de crédito no se almacenaban en el servidor afectado. También informó de que no encontró indicios de que se hubieran accedido contraseñas ni otras credenciales de usuario.
Cuando emitió el aviso, la empresa no había confirmado usos fraudulentos ni otros perjuicios secundarios. Aun así, eso no elimina el riesgo de que los datos de contacto y de perfil expuestos se utilicen más adelante para hacer más convincentes los intentos de phishing.
El método de acceso sigue bajo investigación
Burger King Japón describió el incidente como un acceso no autorizado por parte de un tercero, pero no ha revelado el vector de acceso inicial ni ha atribuido la actividad a un actor de amenazas identificado.
La empresa señaló que bloqueó el acceso desde el origen de la actividad no autorizada tras tener conocimiento del hecho. También notificó a la Comisión de Protección de Información Personal de Japón y contrató a especialistas externos en ciberseguridad para investigar cómo se había accedido al servidor.
Se han implementado medidas temporales, mientras un equipo de respuesta a incidentes trabaja en una investigación más profunda y en mejoras de seguridad permanentes. Según el comunicado citado, también se están enviando notificaciones por correo electrónico a los clientes afectados.
BleepingComputer informó de que los datos se filtraron en línea, pero su informe no precisó dónde aparecieron ni aportó pruebas de distribución pública.
Los clientes deben estar atentos a intentos de suplantación
Burger King Japón recomendó a los socios de la app que desconfíen de los correos electrónicos, los mensajes SMS y las llamadas telefónicas que afirmen proceder de la empresa. En particular, los clientes no deben seguir URL inesperadas, abrir archivos adjuntos no solicitados ni enviar datos de socio o contraseñas en respuesta a este tipo de mensajes.
Como los campos potencialmente expuestos incluyen nombres, datos de contacto e información relacionada con la membresía, los mensajes fraudulentos podrían contener datos personales exactos. Por sí solos, esos datos no deben considerarse prueba de que un mensaje o una llamada sean legítimos.
