Burger King Japão: vazamento no app expõe 11,18 milhões de membros

A BK Japan, que opera os restaurantes Burger King no Japão, disse em 15 de outubro de 2026 que uma pessoa de fora havia acessado cerca de 11,18 milhões de registros de membros do seu app oficial. Nomes, números de telefone, endereços de e-mail e datas de nascimento estavam entre os dados. O vazamento é um dos maiores de uma onda de ataques a empresas japonesas neste mês. Ele entrega aos golpistas uma lista pronta de pessoas para atacar.

O acesso não autorizado ocorreu de 2 a 7 de outubro, e a empresa o descobriu em 13 de outubro, informa o ITmedia NEWS. Ele atingiu o sistema que gerencia as informações dos membros do app. A empresa não disse como o invasor entrou.

O que foi exposto

O ITmedia e o GAME Watch listam os mesmos campos. O BleepingComputer, que noticiou o comunicado em inglês, descreve um deles como histórico de pedidos.

Exposto	Não exposto
ID de membro	Números de cartão de crédito, que a empresa diz não guardar
Nome completo, em kanji e katakana	Senhas de login, sem vazamento confirmado até agora
Endereço de e-mail e se ele foi verificado
Número de telefone
Data de nascimento e gênero
Província, a região do Japão onde o membro mora
Tipo de cadastro
Se o membro já usou o pedido pelo celular

A empresa diz que não confirmou nenhum dano secundário, como o uso fraudulento dos dados. "Pedimos sinceras desculpas pelo grande transtorno e pela preocupação causados", disse a empresa, na tradução do BleepingComputer.

O que a empresa fez

A BK Japan bloqueou o tráfego vindo da origem do acesso e montou uma equipe de resposta, informa o ITmedia. Ela também tomou estas medidas:

• comunicou o vazamento à Personal Information Protection Commission do Japão, o órgão regulador nacional de privacidade
• começou a contatar os membros afetados um a um
• iniciou uma investigação com especialistas externos sobre a via de entrada e a causa
• começou a trabalhar em mais segurança e monitoramento para evitar uma repetição, segundo o GAME Watch

A empresa também alertou os membros sobre mensagens falsas. As pessoas devem ficar atentas a e-mails, mensagens de texto e ligações suspeitas que fingem vir do Burger King, informa o ITmedia. Não devem abrir links ou anexos nessas mensagens, e nunca devem digitar seus dados de membro ou sua senha.

Parte de uma onda maior

O vazamento acontece em um mês ruim para as empresas japonesas. O governo do Japão reforçou seus alertas cibernéticos em 9 de outubro, depois que mais de 20 empresas relataram ataques. Só o serviço de compartilhamento de carros Times Car vazou cerca de 6,6 milhões de contas.

Com 11,18 milhões de registros, o vazamento do Burger King é maior do que qualquer caso isolado daquela reportagem anterior. Nenhuma das fontes o liga aos outros ataques, e a empresa não apontou nenhum invasor.

O que isso significa para desenvolvedores

• Trate dados de contato como sensíveis. Nenhum número de cartão ou senha vazou aqui, mas os dados ainda permitem golpes direcionados. Nome, telefone, e-mail e data de nascimento juntos permitem que um golpista escreva uma mensagem convincente.
• Pergunte por que você guarda cada campo. Apps costumam coletar data de nascimento, gênero e região para marketing. Cada campo armazenado é mais um campo que pode vazar. Elimine os que você não usa.
• Mantenha dados de pagamento fora dos seus próprios sistemas. A BK Japan diz que não guarda números de cartão, então nenhum pôde vazar. Usar um provedor de pagamentos para armazenar os cartões limita o estrago de um vazamento como este.
• Fique atento à detecção lenta. O acesso durou seis dias, e a empresa o descobriu seis dias depois disso. Alertas para leituras em massa incomuns de um banco de dados de membros encurtariam esse intervalo.
• Avise os usuários antes que os golpistas cheguem. A BK Japan contou aos membros quais mensagens falsas esperar. Se você mantém um app com uma grande base de membros, prepare esse aviso agora, antes de precisar dele.