Brecha en Burger King Japón expone 11 millones de registros de usuarios de la app

Burger King Japón reveló el 15 de octubre de 2026 que un acceso no autorizado de un tercero a los servidores que gestionan su aplicación móvil expuso datos personales de 11,18 millones de clientes. La compañía dijo que el acceso ocurrió entre el 2 y el 7 de octubre, y que los datos expuestos habrían sido filtrados en internet.

Los registros comprometidos incluyen nombres, fechas de nacimiento, género, direcciones de correo electrónico, números de teléfono e historial de pedidos vinculados a la aplicación oficial de Burger King Japón. La compañía dijo que el servidor afectado no almacenaba números de tarjetas de crédito y que no ha encontrado evidencia de que los atacantes accedieran a credenciales de cuenta o contraseñas de usuario. Burger King Japón no ha confirmado ningún daño secundario, como uso fraudulento de cuentas, derivado de la filtración.

Según la compañía, la brecha se identificó cuando detectó un posible acceso no autorizado de un tercero al sistema de información de miembros de la app, momento en el que bloqueó la fuente del acceso e inició una investigación con expertos externos en ciberseguridad. Esa investigación concluyó el 13 de octubre, dos días antes de la divulgación pública. Burger King Japón ha reportado el incidente a la Comisión de Protección de Información Personal de Japón, como exige la ley japonesa de protección de datos para brechas de esta magnitud, y se ha disculpado con los clientes afectados.

La compañía advierte a los clientes que estén atentos a intentos de phishing que se hagan pasar por Burger King Japón mediante correos electrónicos, mensajes SMS o llamadas telefónicas que hagan referencia a la brecha, advirtiendo contra hacer clic en enlaces, abrir archivos adjuntos o introducir credenciales de cuenta en respuesta a cualquier contacto de este tipo — un riesgo habitual una vez que circula un tesoro de nombres, datos de contacto e historial de compras, ya que esos datos bastan para hacer que un mensaje de phishing parezca convincentemente personalizado.

La brecha se suma a lo que los investigadores de ciberseguridad describen como un año inusualmente activo de ataques contra grandes empresas japonesas; un investigador de Macnica citado en la cobertura del incidente ha registrado 119 incidentes distintos de robo o exposición de información personal en Japón hasta ahora en 2026, según reportó primero BleepingComputer.