Burger King Japon : une fuite de l'app expose 11,18 millions de membres

BK Japan, qui exploite les restaurants Burger King au Japon, a annoncé le 15 octobre 2026 qu'une personne extérieure avait accédé à environ 11,18 millions de fiches de membres de son application officielle. Les noms, numéros de téléphone, adresses e-mail et dates de naissance figuraient parmi les données. Cette fuite est l'une des plus importantes d'une vague d'attaques contre des entreprises japonaises ce mois-ci. Elle offre aux escrocs une liste toute prête de personnes à cibler.

L'accès non autorisé a duré du 2 au 7 octobre, et l'entreprise l'a découvert le 13 octobre, rapporte ITmedia NEWS. Il a touché le système qui gère les informations des membres de l'application. L'entreprise n'a pas dit comment l'attaquant s'est introduit.

Ce qui a été exposé

ITmedia et GAME Watch citent les mêmes champs. BleepingComputer, qui a relayé l'annonce en anglais, décrit l'un d'eux comme l'historique des commandes.

Exposé	Non exposé
Identifiant de membre	Numéros de carte bancaire, que l'entreprise dit ne pas détenir
Nom complet, en kanji et en katakana	Mots de passe de connexion, sans fuite confirmée à ce stade
Adresse e-mail et indication de sa vérification
Numéro de téléphone
Date de naissance et sexe
Préfecture, la région du Japon où vit le membre
Type d'inscription
Utilisation ou non de la commande mobile par le membre

L'entreprise dit n'avoir constaté aucun dommage secondaire, comme une utilisation frauduleuse des données. « Nous nous excusons sincèrement pour le grand désagrément et l'inquiétude causés », a-t-elle déclaré, selon la traduction de BleepingComputer.

Ce que l'entreprise a fait

BK Japan a bloqué le trafic provenant de la source de l'accès et mis en place une équipe de réponse, rapporte ITmedia. Elle a aussi pris ces mesures :

• signalement de la fuite à la Personal Information Protection Commission, l'autorité nationale de protection des données personnelles au Japon
• début des prises de contact avec chaque membre concerné, un par un
• lancement d'une enquête avec des spécialistes externes sur la voie d'entrée et la cause
• début des travaux pour renforcer la sécurité et la surveillance afin d'éviter une récidive, selon GAME Watch

L'entreprise a aussi mis en garde ses membres contre les faux messages. Il faut se méfier des e-mails, SMS et appels suspects qui prétendent venir de Burger King, rapporte ITmedia. Il ne faut pas ouvrir les liens ou pièces jointes qu'ils contiennent, ni jamais saisir ses informations de membre ou son mot de passe.

Une vague d'attaques plus large

La fuite survient dans un mauvais mois pour les entreprises japonaises. Le gouvernement japonais a renforcé ses alertes cyber le 9 octobre, après des attaques signalées par plus de 20 sociétés. Le service d'autopartage Times Car a, à lui seul, laissé fuiter environ 6,6 millions de comptes.

Avec 11,18 millions de fiches, la fuite de Burger King dépasse chacun des cas recensés dans ce précédent article. Aucune des sources ne la relie aux autres attaques, et l'entreprise n'a désigné aucun attaquant.

Ce que cela signifie pour les développeurs

• Traitez les coordonnées comme des données sensibles. Aucun numéro de carte ni mot de passe n'a fuité ici, mais les données permettent quand même des arnaques ciblées. Nom, téléphone, e-mail et date de naissance réunis permettent à un escroc d'écrire un message crédible.
• Demandez-vous pourquoi vous gardez chaque champ. Les applications collectent souvent la date de naissance, le sexe et la région pour le marketing. Chaque champ stocké est un champ de plus qui peut fuiter. Supprimez ceux que vous n'utilisez pas.
• Gardez les données de paiement hors de vos propres systèmes. BK Japan dit ne pas détenir de numéros de carte, donc aucun n'a pu fuiter. Confier le stockage des cartes à un prestataire de paiement limite les dégâts d'une fuite comme celle-ci.
• Méfiez-vous d'une détection lente. L'accès a duré six jours, et l'entreprise l'a découvert six jours plus tard. Des alertes sur les lectures massives inhabituelles d'une base de membres réduiraient cet écart.
• Prévenez les utilisateurs avant l'arrivée des escrocs. BK Japan a dit à ses membres à quels faux messages s'attendre. Si vous gérez une application avec une large base de membres, préparez cet avertissement dès maintenant, avant d'en avoir besoin.