Burger King Japon révèle une fuite de données de son application touchant 11,18 millions d'enregistrements de membres

Le 15 octobre 2026, BK Japan — l'exploitant de l'application mobile officielle de Burger King au Japon — a annoncé que des attaquants avaient obtenu un accès non autorisé à sa base de membres, exposant environ 11,18 millions d'enregistrements. L'entreprise a indiqué que son enquête avait établi que l'intrusion s'était produite entre le 2 et le 7 octobre, qu'elle avait confirmé la fuite le 13 octobre, et qu'elle avait signalé l'incident à la Personal Information Protection Commission du Japon. BK Japan a précisé que le chiffre de 11,18 millions désigne des enregistrements de la base de données plutôt qu'un nombre vérifié d'individus uniques.

Selon l'avis de l'entreprise, les données exposées comprenaient des identifiants de membre, des adresses e-mail, des types d'inscription, des préfectures, le genre, des dates de naissance, des noms en kanji et en kana, ainsi que des numéros de téléphone, auxquels s'ajoutaient des indicateurs signalant si un membre avait un historique de commande mobile (sa présence ou son absence uniquement, sans détail d'achat) et si une adresse e-mail avait été vérifiée. BK Japan a déclaré que les numéros de carte bancaire n'étaient pas concernés, l'entreprise ne les conservant pas sur ce système, et qu'elle n'avait trouvé aucune confirmation de fuite de mots de passe de connexion, ce point restant toutefois sous investigation.

Réponse

L'entreprise a indiqué avoir bloqué la source des connexions non autorisées dès leur découverte, mis en place une cellule de réponse à l'incident et déployé des mesures temporaires, tout en travaillant avec des spécialistes externes sur des correctifs permanents et une enquête continue. Les clients concernés étaient informés par e-mail, et BK Japan a annoncé vouloir renforcer la sécurité et la surveillance de ses systèmes. Au moment de l'annonce, aucun usage frauduleux ni autre préjudice secondaire n'avait été confirmé, et le vecteur d'accès initial comme la cause sous-jacente restaient indéterminés. Aucun acteur malveillant n'avait revendiqué l'attaque, et l'entreprise a appelé ses clients à se méfier des messages d'hameçonnage usurpant la marque.