Falha no Burger King Japão expõe 11 milhões de registros de usuários do app

O Burger King Japão revelou em 15 de outubro de 2026 que um acesso não autorizado de terceiros aos servidores que gerenciam seu aplicativo móvel expôs dados pessoais de 11,18 milhões de clientes. A empresa disse que o acesso ocorreu entre 2 e 7 de outubro, e que os dados expostos teriam sido vazados online.

Os registros comprometidos incluem nomes, datas de nascimento, gênero, endereços de e-mail, números de telefone e histórico de pedidos vinculados ao aplicativo oficial do Burger King Japão. A empresa disse que o servidor afetado não armazenava números de cartão de crédito e que não encontrou evidências de que os atacantes acessaram credenciais de conta ou senhas de usuários. O Burger King Japão não confirmou nenhum dano secundário, como uso fraudulento de conta, resultante do vazamento.

Segundo a empresa, a falha foi identificada quando detectou um possível acesso não autorizado de terceiros ao sistema de informações de membros do app, momento em que bloqueou a origem do acesso e iniciou uma investigação com especialistas externos em cibersegurança. Essa investigação foi concluída em 13 de outubro, dois dias antes da divulgação pública. O Burger King Japão relatou o incidente à Comissão de Proteção de Informações Pessoais do Japão, conforme exigido para falhas desta magnitude pela lei japonesa de proteção de dados, e pediu desculpas aos clientes afetados.

A empresa está alertando os clientes a ficarem atentos a tentativas de phishing que se façam passar pelo Burger King Japão por e-mail, SMS ou chamadas telefônicas referenciando a falha, alertando contra clicar em links, abrir anexos ou inserir credenciais de conta em resposta a qualquer contato desse tipo — um risco padrão quando um conjunto de nomes, dados de contato e histórico de compras está circulando, já que esses dados são suficientes para fazer uma mensagem de phishing parecer convincentemente personalizada.

A falha se soma ao que pesquisadores de cibersegurança descrevem como um ano incomumente ativo de ataques contra grandes empresas japonesas; um pesquisador da Macnica citado na cobertura do incidente registrou 119 incidentes distintos envolvendo roubo ou exposição de informações pessoais no Japão até agora em 2026, conforme relatado primeiro pela BleepingComputer.