Burger King Japan ha reso noto un accesso non autorizzato al sistema che gestisce le informazioni di iscrizione alla sua app ufficiale per smartphone, con il possibile rischio di esposizione di circa 11,18 milioni di registrazioni.
Secondo il resoconto di Security Affairs sull'avviso della società, l'accesso non autorizzato si è verificato tra il 2 e il 7 ottobre 2026. Un'indagine successiva ha confermato la fuga di dati il 13 ottobre, e Burger King Japan ha pubblicato il proprio avviso il 15 ottobre.
Il dato si riferisce alle registrazioni di iscrizione e non dimostra che 11,18 milioni di persone distinte siano state colpite. Le segnalazioni disponibili non mostrano inoltre che ogni registrazione potenzialmente esposta sia stata copiata o esfiltrata.
Iscrizione e dati di contatto a rischio
Le informazioni coinvolte potrebbero includere:
- ID di iscrizione
- Indirizzi email
- Nomi scritti in caratteri giapponesi e in kana
- Numeri di telefono
- Date di nascita
- Genere
- Prefettura di residenza
- Tipo di registrazione all'iscrizione
- Se il socio abbia una cronologia di ordini effettuati da dispositivo mobile
- Se l'indirizzo email sia stato verificato
Il campo relativo agli ordini da dispositivo mobile sembra indicare se un cliente abbia utilizzato questa funzione, non fornisce una cronologia completa dei singoli acquisti.
Burger King Japan ha dichiarato che sul server interessato non erano memorizzati numeri di carte di credito. Ha inoltre riferito di non aver riscontrato prove di accessi a password o ad altre credenziali degli utenti.
Al momento dell'avviso, la società non aveva confermato un utilizzo fraudolento o altri danni secondari. Ciò non elimina il rischio che i dati di contatto e i profili esposti possano in seguito essere usati per rendere più convincenti i tentativi di phishing.
Il metodo di accesso è ancora in fase di accertamento
Burger King Japan ha descritto l'episodio come un accesso non autorizzato da parte di terzi, ma non ha rivelato il vettore di accesso iniziale né attribuito l'attività a un attore di minaccia identificato.
La società ha dichiarato di aver bloccato l'accesso dalla fonte dell'attività non autorizzata dopo esserne venuta a conoscenza. Ha inoltre informato la Commissione giapponese per la protezione delle informazioni personali e ha coinvolto specialisti esterni di cybersecurity per capire come fosse stato effettuato l'accesso al server.
Sono state adottate contromisure temporanee, mentre un team di risposta agli incidenti sta lavorando a ulteriori verifiche e a miglioramenti permanenti della sicurezza. Secondo l'avviso reso pubblico, sono in corso anche le notifiche via email ai clienti interessati.
BleepingComputer ha riferito che i dati erano stati diffusi online, ma la segnalazione non indicava dove fossero comparsi né forniva prove di una distribuzione pubblica.
I clienti dovrebbero prestare attenzione ai tentativi di impersonificazione
Burger King Japan ha invitato gli iscritti all'app a diffidare di email, messaggi SMS e telefonate che dicono di provenire dalla società. In particolare, i clienti non dovrebbero seguire URL inattesi, aprire allegati non richiesti o inviare dati di iscrizione o password in risposta a tali messaggi.
Poiché i campi potenzialmente esposti comprendono nomi, dati di contatto e informazioni legate all'iscrizione, i messaggi fraudolenti potrebbero contenere dettagli personali corretti. Questi dettagli, da soli, non devono essere considerati una prova che un messaggio o un interlocutore sia legittimo.
