In einer Mitteilung vom Donnerstag erklärte das Unternehmen, eine Nachuntersuchung am 13. Oktober abgeschlossen zu haben, und entschuldigte sich bei den betroffenen Kundinnen und Kunden. „Wir haben einen möglichen unbefugten Zugriff Dritter auf das System festgestellt, das die Mitgliederdaten unserer offiziellen App verwaltet, und eine Untersuchung durchgeführt", teilte Burger King Japan mit. „Dabei wurde am Dienstag, dem 13. Oktober 2026, festgestellt, dass zwischen Freitag, dem 2. Oktober 2026, und Mittwoch, dem 7. Oktober 2026, ein unbefugter Zugriff stattgefunden hat, der zu einem Abfluss von Mitgliederdaten führte. Nach Bekanntwerden des unbefugten Zugriffs haben wir den Zugang von der betreffenden Quelle sofort gesperrt."
Auf dem betroffenen Server lagen Namen, Geburtsdaten, Geschlecht, E-Mail-Adressen, Telefonnummern und Bestellhistorien der App-Nutzer. Kreditkartennummern seien dort nicht gespeichert gewesen; Hinweise darauf, dass die Angreifer auf Zugangsdaten der Nutzer zugegriffen haben, gebe es nicht.
Das Unternehmen hat den Vorfall der japanischen Datenschutzbehörde Personal Information Protection Commission (PPC) gemeldet und untersucht mit Unterstützung externer IT-Sicherheitsfachleute, wie die Angreifer auf den Server gelangen konnten. „Wir entschuldigen uns aufrichtig für die großen Unannehmlichkeiten und die Sorge, die diese Situation unseren Kunden und allen weiteren Beteiligten verursacht hat", hieß es weiter. „Zum jetzigen Zeitpunkt wurden keine Folgeschäden wie eine betrügerische Nutzung infolge dieses Vorfalls bestätigt."
Betroffene werden aufgefordert, auf verdächtige E-Mails, SMS-Nachrichten und Anrufe zu achten, die sich als Burger King Japan ausgeben könnten. Enthaltene URLs sollten nicht angeklickt, Anhänge nicht geöffnet und weder Mitgliedsdaten noch Passwörter eingegeben werden.
Burger King wurde 1953 in Florida gegründet und betreibt heute weltweit knapp 20.000 Filialen, davon 350 in Japan.
Der Vorfall reiht sich in eine Serie von Cyberangriffen auf große japanische Unternehmen seit Jahresbeginn ein. Betroffen waren unter anderem der Unterhaltungssystem-Hersteller Daiichi Kosho, der Cloud- und Infrastrukturanbieter IDC Frontier, der Verlagskonzern Nikkei, die private Bahngesellschaft Keio, der Carsharing-Dienst Times Car, der Cloud- und Rechenzentrumsbetreiber Sakura Internet, das Taxiunternehmen Nihon Kotsu sowie der Telekommunikationskonzern KDDI.
Der Macnica-Forscher Yutaka Sejiyama hat in diesem Jahr 119 Sicherheitsvorfälle mit Diebstahl oder Offenlegung personenbezogener Daten erfasst. Seinen Erkenntnissen zufolge tasten Angreifer inzwischen Websites und APIs gezielt nach Schwächen bei Zugriffskontrolle, Konfiguration und Authentifizierung ab und nutzen bekannte (n-day) Schwachstellen aus.