Datenleck bei Burger King Japan legt 11 Millionen App-Nutzerdatensätze offen

Burger King Japan gab am 15. Oktober 2026 bekannt, dass unbefugter Zugriff Dritter auf die Server, die seine Smartphone-App verwalten, persönliche Daten von 11,18 Millionen Kunden offenlegte. Das Unternehmen erklärte, der Zugriff sei zwischen dem 2. und 7. Oktober erfolgt, und die offengelegten Daten seien Berichten zufolge online geleakt worden.

Die kompromittierten Datensätze umfassen Namen, Geburtsdaten, Geschlecht, E-Mail-Adressen, Telefonnummern und Bestellhistorien, die mit der offiziellen Burger-King-Japan-App verknüpft sind. Das Unternehmen erklärte, der betroffene Server habe keine Kreditkartennummern gespeichert, und es habe keine Beweise dafür gefunden, dass Angreifer auf Kontozugangsdaten oder Passwörter der Nutzer zugegriffen hätten. Burger King Japan hat keinen Sekundärschaden, etwa betrügerische Kontonutzung infolge des Lecks, bestätigt.

Laut dem Unternehmen wurde das Leck identifiziert, als es einen möglichen unbefugten Drittzugriff auf das System mit App-Mitgliederinformationen entdeckte; zu diesem Zeitpunkt blockierte es die Zugriffsquelle und leitete eine Untersuchung mit externen Cybersicherheitsexperten ein. Diese Untersuchung wurde am 13. Oktober abgeschlossen, zwei Tage vor der öffentlichen Offenlegung. Burger King Japan hat den Vorfall der japanischen Kommission für den Schutz persönlicher Informationen gemeldet, wie es das japanische Datenschutzgesetz für Lecks dieser Größenordnung vorschreibt, und sich bei den betroffenen Kunden entschuldigt.

Das Unternehmen warnt Kunden, auf Phishing-Versuche zu achten, die sich per E-Mail, SMS oder Telefonanruf unter Bezugnahme auf das Leck als Burger King Japan ausgeben, und rät davon ab, auf Links zu klicken, Anhänge zu öffnen oder Kontozugangsdaten als Reaktion auf einen solchen Kontakt einzugeben — ein übliches Risiko, sobald ein Schatz an Namen, Kontaktdaten und Kaufhistorien im Umlauf ist, denn diese Daten reichen aus, um eine Phishing-Nachricht überzeugend personalisiert wirken zu lassen.

Das Leck reiht sich ein in das, was Cybersicherheitsforscher als ungewöhnlich aktives Jahr für Angriffe auf große japanische Unternehmen beschreiben; ein in der Berichterstattung über den Vorfall zitierter Macnica-Forscher hat bislang 119 einzelne Vorfälle von Diebstahl oder Offenlegung persönlicher Informationen in Japan im Jahr 2026 verzeichnet, wie zuerst von BleepingComputer berichtet.