Datenleck bei Burger King Japan: App legt 11,18 Mio. Mitglieder offen

BK Japan, das die Burger-King-Restaurants in Japan betreibt, gab am 15. Oktober 2026 bekannt, dass ein Außenstehender auf rund 11,18 Millionen Mitgliederdatensätze aus der offiziellen App zugegriffen hat. Zu den Daten gehörten Namen, Telefonnummern, E-Mail-Adressen und Geburtsdaten. Das Leck ist eines der größten in einer Welle von Angriffen auf japanische Unternehmen in diesem Monat. Es liefert Betrügern eine fertige Liste von Menschen, die sie ins Visier nehmen können.

Der unbefugte Zugriff lief vom 2. bis zum 7. Oktober, und das Unternehmen entdeckte ihn am 13. Oktober, berichtet ITmedia NEWS. Er betraf das System, das die Mitgliederinformationen der App verwaltet. Wie der Angreifer eingedrungen ist, hat das Unternehmen nicht gesagt.

Was offengelegt wurde

ITmedia und GAME Watch nennen dieselben Felder. BleepingComputer, das auf Englisch über die Meldung berichtete, beschreibt eines davon als Bestellverlauf.

Offengelegt	Nicht offengelegt
Mitglieds-ID	Kreditkartennummern, die das Unternehmen nach eigenen Angaben nicht speichert
Vollständiger Name, in Kanji und Katakana	Login-Passwörter, bisher ohne bestätigtes Leck
E-Mail-Adresse und ob sie verifiziert wurde
Telefonnummer
Geburtsdatum und Geschlecht
Präfektur, also die Region Japans, in der das Mitglied wohnt
Registrierungsart
Ob das Mitglied die mobile Bestellung genutzt hat

Das Unternehmen hat nach eigenen Angaben keine Folgeschäden festgestellt, etwa eine betrügerische Nutzung der Daten. „Wir entschuldigen uns aufrichtig für die großen Unannehmlichkeiten und die Sorge“, erklärte es in der Übersetzung von BleepingComputer.

Was das Unternehmen unternommen hat

BK Japan blockierte den Datenverkehr von der Quelle des Zugriffs und richtete ein Krisenteam ein, berichtet ITmedia. Außerdem unternahm es diese Schritte:

• Meldung des Lecks an Japans Personal Information Protection Commission, die nationale Datenschutzaufsicht
• Beginn der Kontaktaufnahme mit jedem betroffenen Mitglied einzeln
• Start einer Untersuchung des Einfallswegs und der Ursache mit externen Fachleuten
• Beginn der Arbeit an stärkerer Sicherheit und Überwachung, um eine Wiederholung zu verhindern, laut GAME Watch

Das Unternehmen warnte die Mitglieder außerdem vor gefälschten Nachrichten. Man solle auf verdächtige E-Mails, SMS und Anrufe achten, die vorgeben, von Burger King zu stammen, berichtet ITmedia. Links oder Anhänge darin solle man nicht öffnen. Mitgliedsdaten oder Passwort solle man niemals eingeben.

Teil einer größeren Welle

Das Leck fällt in einen schlechten Monat für japanische Unternehmen. Japans Regierung verschärfte am 9. Oktober ihre Cyberwarnungen, nachdem mehr als 20 Firmen Angriffe gemeldet hatten. Allein beim Carsharing-Dienst Times Car flossen rund 6,6 Millionen Konten ab.

Mit 11,18 Millionen Datensätzen ist das Burger-King-Leck größer als jeder einzelne Fall in diesem früheren Bericht. Keine der Quellen bringt es mit den anderen Angriffen in Verbindung, und das Unternehmen hat keinen Angreifer genannt.

Was das für Entwickler bedeutet

• Kontaktdaten als sensibel behandeln. Hier flossen keine Kartennummern oder Passwörter ab, und doch ermöglichen die Daten gezielten Betrug. Name, Telefonnummer, E-Mail und Geburtsdatum zusammen erlauben es einem Betrüger, eine glaubwürdige Nachricht zu schreiben.
• Bei jedem Feld fragen, warum Sie es speichern. Apps erfassen Geburtsdatum, Geschlecht und Region oft für das Marketing. Jedes gespeicherte Feld ist ein weiteres Feld, das abfließen kann. Verzichten Sie auf die, die Sie nicht nutzen.
• Zahlungsdaten aus den eigenen Systemen heraushalten. BK Japan speichert nach eigenen Angaben keine Kartennummern, also konnte auch keine abfließen. Wer Karten bei einem Zahlungsanbieter speichern lässt, begrenzt den Schaden eines Lecks wie diesem.
• Auf langsame Erkennung achten. Der Zugriff lief sechs Tage, und das Unternehmen entdeckte ihn sechs Tage danach. Alarme bei ungewöhnlichen Massenabfragen einer Mitgliederdatenbank würden diese Lücke verkürzen.
• Nutzer warnen, bevor die Betrüger kommen. BK Japan sagte den Mitgliedern, mit welchen gefälschten Nachrichten sie rechnen müssen. Wenn Sie eine App mit vielen Mitgliedern betreiben, bereiten Sie diese Warnung jetzt vor, bevor Sie sie brauchen.