Burger King Japon a signalé un accès non autorisé au système qui gère les informations d'adhésion de son application mobile officielle. Environ 11,18 millions d'enregistrements pourraient être exposés.
Selon le récit de Security Affairs de l'avis publié par l'entreprise, l'accès non autorisé s'est produit entre le 2 et le 7 octobre 2026. Une enquête complémentaire a confirmé la fuite le 13 octobre, et Burger King Japon a publié son avis le 15 octobre.
Ce chiffre désigne des enregistrements d'adhésion et ne permet pas d'affirmer que 11,18 millions de personnes distinctes ont été touchées. Les informations disponibles ne montrent pas non plus que tous les enregistrements potentiellement exposés aient été copiés ou extraits.
Les données d'adhésion et de contact étaient menacées
Les informations concernées pourraient comprendre :
- les identifiants d'adhésion ;
- les adresses e-mail ;
- les noms écrits en caractères japonais et en kana ;
- les numéros de téléphone ;
- les dates de naissance ;
- le genre ;
- la préfecture de résidence ;
- le type d'inscription au programme ;
- la question de savoir si le membre a déjà utilisé la commande mobile ;
- la question de savoir si l'adresse e-mail a été vérifiée.
Le champ relatif à la commande mobile semble indiquer si le client a utilisé cette fonction, et non fournir un historique complet de ses achats.
Burger King Japon affirme que les numéros de carte bancaire n'étaient pas stockés sur le serveur concerné. Elle indique aussi n'avoir trouvé aucun élément prouvant que des mots de passe ou d'autres identifiants d'utilisateurs aient été consultés.
Au moment de la publication de son avis, l'entreprise n'avait confirmé ni utilisation frauduleuse ni autre préjudice secondaire. Cela n'écarte pas le risque que les coordonnées et les profils exposés servent ensuite à rendre des tentatives d'hameçonnage plus convaincantes.
La méthode d'accès reste à l'étude
Burger King Japon qualifie l'incident d'accès non autorisé par un tiers, mais n'a pas révélé le vecteur d'accès initial ni attribué l'activité à un acteur de la menace identifié.
Selon l'entreprise, elle a bloqué l'accès depuis la source de l'activité non autorisée dès qu'elle en a eu connaissance. Elle a également notifié la Commission de protection des informations personnelles du Japon et fait appel à des spécialistes externes en cybersécurité pour déterminer comment le serveur a été consulté.
Des mesures temporaires ont été mises en place, tandis qu'une équipe de réponse aux incidents poursuit l'enquête et travaille à des améliorations de sécurité durables. Selon l'avis publié, des notifications par e-mail sont également en cours auprès des clients concernés.
BleepingComputer a rapporté que les données avaient fuité en ligne, mais son article n'indiquait ni où elles étaient apparues ni n'apportait de preuve de diffusion publique.
Les clients doivent se méfier des tentatives d'usurpation d'identité
Burger King Japon invite les membres de l'application à se méfier des e-mails, des SMS et des appels téléphoniques qui prétendent provenir de l'entreprise. Les clients ne doivent notamment pas suivre des URL inattendues, ouvrir des pièces jointes non sollicitées ni transmettre leurs informations d'adhésion ou leurs mots de passe en réponse à de tels messages.
Comme les champs potentiellement exposés comprennent des noms, des coordonnées et des informations liées à l'adhésion, les messages frauduleux peuvent contenir des données personnelles exactes. Ces seules informations ne doivent toutefois pas être considérées comme une preuve de la légitimité d'un message ou d'un interlocuteur.
