Datenpanne bei Burger King legt 11 Millionen Datensätze in Japan offen

Ein Datenleck bei Burger King in Japan hat 11,18 Millionen Kundendatensätze offengelegt, nachdem Angreifer Zugriff auf ein System mit Mitgliederdaten aus der Smartphone-App des Unternehmens erlangt hatten. Die kompromittierten Informationen umfassten personenbezogene Daten, Kontaktinformationen und Bestellverläufe.

Burger King Japan bestätigte das Datenleck nach einer Untersuchung, die am 13. Oktober abgeschlossen wurde. Nach Angaben des Unternehmens erfolgte der unbefugte Zugriff zwischen dem 2. und 7. Oktober 2026.

Angreifer griffen auf personenbezogene Daten von App-Mitgliedern zu

Das betroffene System enthielt Informationen über Nutzer der offiziellen Smartphone-App von Burger King Japan. Zu den offengelegten Daten gehörten Namen, Geburtsdaten, Geschlecht, E-Mail-Adressen, Telefonnummern und Bestellverläufe.

Der kompromittierte Server enthielt jedoch keine Kreditkartennummern von Kunden. Das Unternehmen erklärte außerdem, dass die Ermittler keine Hinweise darauf gefunden hätten, dass die Angreifer auf Anmeldedaten zugegriffen hatten.

Die gemeldete Gesamtzahl bezieht sich auf Kundendatensätze. Sie bedeutet nicht zwangsläufig, dass 11,18 Millionen unterschiedliche Personen von dem Vorfall betroffen waren.

Unternehmen sperrt Zugriff und untersucht den Angriffsweg

Burger King Japan erklärte, dass das Unternehmen den Zugriff von der identifizierten Quelle unmittelbar nach der Entdeckung des Eindringens blockiert habe. Anschließend bestätigte es, dass die unbefugten Aktivitäten zu einem Abfluss von Mitgliederdaten geführt hatten.

Das Unternehmen veröffentlichte die Untersuchungsergebnisse in einer Mitteilung vom 15. Oktober und entschuldigte sich bei seinen Kunden. Außerdem meldete es den Vorfall der japanischen Kommission für den Schutz personenbezogener Daten.

Unterdessen unterstützen externe Cybersicherheitsexperten die Untersuchung, wie die Angreifer in das System eindringen konnten. Das Unternehmen hat die ursprüngliche Zugriffsmethode bislang nicht öffentlich identifiziert.

Zum Zeitpunkt der Bekanntgabe erklärte Burger King Japan, dass weder eine daraus resultierende betrügerische Nutzung noch andere Folgeschäden bestätigt worden seien.

Kunden werden vor Identitätsmissbrauch gewarnt

Nach dem Datenleck bei Burger King forderte das Unternehmen seine Kunden auf, auf verdächtige E-Mails, Textnachrichten und Telefonanrufe zu achten.

Insbesondere sollten Kunden bei unerwarteten Kontaktaufnahmen vorsichtig sein, wenn die Absender behaupten, Burger King Japan zu vertreten. Das Unternehmen riet davon ab, verdächtige Anhänge zu öffnen, unbekannten Links zu folgen oder Mitgliedsdaten und Passwörter preiszugeben.

Die offengelegten Kontaktinformationen und Kaufhistorien könnten Kriminellen dabei helfen, Identitätsmissbrauch und Täuschungsversuche glaubwürdiger erscheinen zu lassen. Das Unternehmen hat jedoch nicht bestätigt, dass solche Aktivitäten bereits stattgefunden haben.

Vorfall verstärkt Bedenken hinsichtlich der Cybersicherheit in Japan

Die Offenlegung folgt auf Cybersicherheitsvorfälle bei mehreren großen japanischen Unternehmen, darunter Nikkei, IDC Frontier, Keio und Times Car.

Der Sicherheitsforscher Yutaka Sejiyama hat in diesem Jahr 119 Vorfälle in Japan erfasst, bei denen personenbezogene Daten gestohlen oder offengelegt wurden. Seine Erkenntnisse verdeutlichen die Bemühungen von Angreifern, Schwachstellen in Websites und Programmierschnittstellen (APIs) aufzuspüren.

Dazu gehören Fehler bei der Zugriffskontrolle, Konfigurationsfehler, Schwächen bei der Authentifizierung und bekannte Software-Sicherheitslücken. Die Ermittler haben jedoch noch nicht festgestellt, ob eine dieser Methoden für den Angriff auf Burger King Japan verantwortlich war.