Japoński Burger King: wyciek danych 11 mln użytkowników aplikacji

Między 2 a 7 października 2026 doszło do naruszenia bezpieczeństwa danych klientów Burger King w Japonii. Dotknęło informacji takich jak m.in. imiona i nazwiska, adresy e-mail, numery telefonów i daty urodzenia ponad 11 milionów użytkowników aplikacji.

TLDR:

• Japoński Burger King potwierdził naruszenie bezpieczeństwa danych obejmujące około 11 mln rekordów użytkowników oficjalnej aplikacji. Do incydentu doszło między 2 a 7 października 2026 r., a wyciek wykryto 13 października.
• Ujawnione dane obejmują m.in. imiona i nazwiska, numery telefonów, adresy e-mail, daty urodzenia, płeć i identyfikatory kont. Niektóre rekordy zawierały również informacje o rejestracji i korzystaniu z zamówień mobilnych.
• Firma poinformowała, że w zaatakowanym systemie nie przechowywano numerów kart kredytowych, a wycieku haseł logowania nie potwierdzono.

BK Japan, operator restauracji Burger King w Japonii, potwierdził naruszenie bezpieczeństwa danych 15 października, wskazując że wykrył je 2 dni wcześniej (13.10).

Incydent objął następujące dane użytkowników:

• imiona i nazwiska (zapisane znakami kanji i kana),
• numery telefonów,
• adresy e-mail,
• daty urodzenia,
• płeć,
• identyfikatory konta.

Niektóre rekordy zawierały również szczegóły rejestracji, status weryfikacji adresu e-mail oraz informacje dotyczące zamówień mobilnych (wskazanie, czy z danego konta składano zamówienia – bez ich szczegółów).

Firma nie ujawniła, w jaki sposób atakujący uzyskał dostęp do systemu. W opublikowanym komunikacie poinformowała, że w systemie objętym naruszeniem nie przechowuje numerów kart kredytowych i żadne takie dane nie zostały ujawnione. Nie potwierdzono też wycieku haseł logowania. 

Po wykryciu incydentu zablokowano połączenia ze źródła, z którego nastąpił nieuprawniony dostęp, i powołano zespół do obsługi naruszenia. BK Japan zgłosiło zdarzenie japońskiej Komisji ds. Ochrony Danych Osobowych i współpracuje z ekspertami ds. bezpieczeństwa, aby ustalić, w jaki sposób atakujący uzyskał dostęp do systemu. Firma przeprosiła klientów za wyciek.

Posiadanie przez atakujących imienia, nazwiska, adresu e-mail, czy numeru telefonu może zostać wykorzystane do prób wiarygodnych ataków phishingowych. Z perspektywy użytkownika niewiele można zrobić, by zapobiec tego typu wyciekom. Polecamy jednak minimalizować dane, jakie przekazujemy zewnętrznym serwisom – np. zastanowić się:

• czy restauracja potrzebuje adresu zamieszkania, jeśli odbieram zamówienie na wynos w lokalu?
• czy restauracja potrzebuje pełnego adresu (nr klatki, mieszkania), jeśli po zamówienie wyjdę przed budynek?

Warto też rozważyć dodatkowe narzędzia zwiększające prywatność jak np. unikalne aliasy mailowe, które pomagają zmniejszyć liczbę identyfikujących nas informacji między serwisami (utrudnia to chociażby połączenie danych z kilku wycieków w jeden zestaw, a także ułatwia zidentyfikowanie, skąd wyciekły nasze dane).

Nie zachęcamy do podawania fałszywych informacji ani wprowadzania kogokolwiek w błąd, a jedynie do ograniczenia danych, jakich udzielamy podczas korzystania z różnych usług. Administratorzy danych mają obowiązek zapewnić taki stan rzeczy, do czego obliguje ich art. 5 ust. 1 lit. c) RODO.

Źródła:

• hackread.com
• burgerking.co.jp

~Tymoteusz Jóźwiak