Burger King Japón sufre una brecha de datos que expone 11 millones de registros de clientes

Burger King Japón, la subsidiaria japonesa de la gigante mundial de comida rápida Burger King, ha revelado una importante brecha de datos tras el acceso no autorizado a un servidor que contenía 11,18 millones de registros de clientes.

Fundada en 1953 en Florida, Burger King es hoy una cadena multinacional de comida rápida con casi 20.000 locales en todo el mundo, de los cuales 350 se encuentran en Japón.

En un comunicado de prensa emitido el jueves, Burger King Japón informó que concluyó una investigación de seguimiento el 13 de octubre y se disculpó con los clientes cuyos datos fueron robados a principios de octubre y filtrados en línea.

Los servidores comprometidos almacenaban información personal de los usuarios de la aplicación oficial para teléfonos inteligentes de la compañía, incluyendo nombres, fechas de nacimiento, género, direcciones de correo electrónico, números de teléfono e historial de pedidos.

Identificamos un posible acceso no autorizado de terceros al sistema que gestiona la información de los miembros de nuestra aplicación oficial y llevamos a cabo una investigación.

Como resultado, se determinó el martes 13 de octubre de 2026 que el acceso no autorizado ocurrió entre el viernes 2 de octubre de 2026 y el miércoles 7 de octubre de 2026, resultando en una filtración de información de miembros. Al tener conocimiento del acceso no autorizado, bloqueamos inmediatamente el acceso desde la fuente en cuestión.

Sin embargo, la empresa afirma que el servidor comprometido no almacenaba números de tarjetas de crédito de clientes y que no encontró evidencia de que los actores de amenazas accedieran a las credenciales de usuario.

Burger King Japón ha reportado la brecha a la Comisión de Protección de Información Personal de Japón (PPC) y ahora también investiga cómo los atacantes accedieron al servidor comprometido, con la ayuda de expertos externos en ciberseguridad.

Nos disculpamos sinceramente por el gran inconveniente y la preocupación que esta situación ha causado a nuestros clientes y a todos los involucrados. En este momento, no se ha confirmado ningún daño secundario, como uso fraudulento, derivado de este incidente.

La cadena de comida rápida también advirtió a los clientes afectados que estén atentos a correos electrónicos, mensajes SMS y llamadas telefónicas sospechosas que puedan suplantar a Burger King Japón, y que eviten hacer clic en URL, abrir archivos adjuntos o ingresar información de miembros o contraseñas.

Este incidente se suma a una ola de ciberataques que han afectado a varias empresas japonesas importantes desde principios de año, incluyendo al fabricante de sistemas de entretenimiento Daiichi Kosho, la firma de infraestructura digital y en la nube IDC Frontier, el gigante editorial japonés Nikkei, el operador de ferrocarriles privados Keio, el servicio de coches compartidos Times Car, el proveedor de servicios de nube y centros de datos Sakura Internet, el operador de taxis Nihon Kotsu, el gigante de telecomunicaciones KDDI y muchos otros.

El investigador de Macnica Yutaka Sejiyama ha registrado 119 incidentes de ciberseguridad relacionados con robo o exposición de información personal este año y descubrió que los atacantes ahora están sondeando sitios web y API en busca de debilidades de control de acceso, configuración y autenticación, y explotando vulnerabilidades conocidas (n-day).

Una vez que los atacantes tienen credenciales válidas, solo se bloquea el 37% de sus acciones

Las puntuaciones generales de prevención pueden ocultar lo que sucede después del acceso inicial. Una vez que los atacantes utilizan credenciales válidas, la prevención cae drásticamente.

El Informe Azul 2026 mide las defensas técnica por técnica en 338 millones de simulaciones ejecutadas en entornos de producción de clientes.