Une faille chez Burger King Japon expose 11 millions de données d'utilisateurs de l'application

Burger King Japon a révélé le 15 octobre 2026 qu'un accès non autorisé d'un tiers aux serveurs gérant son application mobile a exposé des données personnelles appartenant à 11,18 millions de clients. L'entreprise a déclaré que l'accès a eu lieu entre le 2 et le 7 octobre, et que les données exposées auraient été divulguées en ligne.

Les données compromises comprennent les noms, dates de naissance, genre, adresses e-mail, numéros de téléphone et historiques de commandes liés à l'application officielle de Burger King Japon. L'entreprise a déclaré que le serveur affecté ne stockait pas de numéros de cartes de crédit et qu'elle n'a trouvé aucune preuve que les attaquants aient accédé aux identifiants de compte ou mots de passe des utilisateurs. Burger King Japon n'a confirmé aucun dommage secondaire, comme une utilisation frauduleuse de compte, résultant de cette fuite.

Selon l'entreprise, la faille a été identifiée lorsqu'elle a détecté un accès non autorisé potentiel d'un tiers au système d'informations des membres de l'application, moment auquel elle a bloqué la source de l'accès et lancé une enquête avec des experts externes en cybersécurité. Cette enquête s'est conclue le 13 octobre, deux jours avant la divulgation publique. Burger King Japon a signalé l'incident à la Commission japonaise de protection des informations personnelles, comme l'exige la loi japonaise sur la protection des données pour des failles de cette ampleur, et s'est excusée auprès des clients concernés.

L'entreprise avertit les clients de se méfier des tentatives de phishing se faisant passer pour Burger King Japon par e-mail, SMS ou appel téléphonique évoquant la faille, les mettant en garde contre le fait de cliquer sur des liens, d'ouvrir des pièces jointes ou de saisir des identifiants de compte en réponse à un tel contact — un risque habituel dès qu'un trésor de noms, coordonnées et historiques d'achat circule, car ces données suffisent à rendre un message de phishing convaincant car personnalisé.

Cette faille s'ajoute à ce que les chercheurs en cybersécurité décrivent comme une année exceptionnellement active d'attaques contre de grandes entreprises japonaises ; un chercheur de Macnica cité dans la couverture de l'incident a recensé 119 incidents distincts impliquant un vol ou une exposition d'informations personnelles au Japon depuis le début de 2026, comme l'a rapporté en premier BleepingComputer.