Из приложения Burger King в Японии утекли 11,18 млн записей

Подробно

Что произошло с приложением Burger King в Японии?

Официальная компания-оператор Burger King в Японии - 株式会社ビーケー・ジャパン (BK Japan) со штаб-квартирой в районе Тиёда в Токио. Президент и представительный директор - Кадзухиро Номура. 15 октября 2026 года компания опубликовала сообщение «Извинения и уведомление об утечке данных участников официального приложения вследствие несанкционированного доступа».

По данным компании, подозрение на посторонний доступ появилось во время проверки системы управления участниками приложения. Расследование показало, что несанкционированные обращения к системе шли с пятницы 2 октября по среду 7 октября 2026 года. Факт утечки установили во вторник 13 октября, публично о нём объявили 15 октября. Когда именно компания впервые заметила подозрительную активность и почему на подтверждение утечки ушло почти неделю, BK Japan не уточнила.

«Приносим глубокие извинения клиентам и всем заинтересованным лицам за причинённые серьёзные неудобства и беспокойство», - говорится в заявлении BK Japan.

В официальном приложении Burger King в Японии есть купоны, программа уровней участника, поиск ресторанов и мобильный заказ с безналичной оплатой.

Сколько пользователей затронула утечка Burger King?

Компания указала масштаб приблизительно: около 11,18 млн записей данных участников (в оригинале - 約1,118万件). Точное число не опубликовано. Также не сообщается, сколько уникальных людей стоит за этими записями: в заявлении речь идёт именно о записях, и их количество не обязательно совпадает с числом пользователей.

Какие данные утекли из приложения Burger King?

По опубликованному перечню, в утёкший набор входят:

• идентификатор участника;
• адрес электронной почты;
• тип регистрации;
• префектура проживания;
• пол и дата рождения;
• имя и фамилия в кандзи и катакане;
• номер телефона;
• признак наличия истории мобильных заказов;
• признак прохождения проверки электронной почты.

В перечне указано только наличие или отсутствие истории заказов. Ни состав заказов, ни суммы, ни рестораны, ни время покупок в нём не упоминаются. Были ли все поля в каждой записи или набор зависел от профиля, компания не уточнила.

Утекли ли пароли и данные банковских карт?

BK Japan заявила, что номера банковских карт она не хранит, поэтому в утечку они не попали. Утечка паролей для входа на момент объявления 15 октября не подтверждена. Это промежуточный результат расследования, а не окончательный вывод о том, что пароли никак не затронуты.

Компания также сообщила, что пока не обнаружила неправомерного использования утёкших сведений:

«На данный момент не подтверждён вторичный ущерб, включая неправомерное использование, связанное с этим инцидентом».

Это значит лишь, что компания пока не выявила злоупотреблений, но не гарантирует, что их не будет.

Что делать пользователям приложения Burger King?

BK Japan рассылает затронутым пользователям уведомления по электронной почте. Компания предупреждает, что злоумышленники могут писать письма и SMS или звонить от имени Burger King или BK Japan. Утечка включает email, телефон, имя и дату рождения, поэтому мошенники могут использовать эти сведения в письмах и звонках от имени компании - об этом и предупреждает BK Japan. К неожиданным сообщениям со ссылками и просьбами сообщить данные стоит относиться с осторожностью.

Какие меры приняла BK Japan и что известно о причине взлома?

По словам компании, после выявления атаки она сразу заблокировала соединения с выявленного источника:

«После того как факт несанкционированного доступа был установлен, доступ с соответствующего источника связи был немедленно заблокирован».

Способ проникновения не назван. Неизвестно, была ли это уязвимость приложения или API, похищенные учётные данные, ошибка конфигурации или компрометация подрядчика.

«Обстоятельства, сделавшие несанкционированный доступ возможным, и подробная причина в настоящее время расследуются во взаимодействии с внешней специализированной организацией», - сообщила компания.

Злоумышленник, его мотив и возможная группировка не установлены. В опубликованных материалах нет сведений об обращении в полицию, уголовном деле, требовании выкупа или продаже базы на криминальных форумах. Суммы ущерба, штрафы и компенсации также не названы. Направила ли BK Japan уведомление в Комиссию по защите персональной информации, в доступных пересказах заявления не указано.

Связана ли утечка Burger King с волной кибератак в Японии?

Инцидент случился на фоне серии крупных утечек в японских компаниях. 5 октября Monogatari Corporation сообщила об утечке 10 788 963 записей участников приложения сети Yakiniku King. 7 октября Комиссия Японии по защите персональной информации выпустила срочное предупреждение. Регулятор потребовал соотносить меры защиты с объёмом данных, минимизировать права доступа, применять многофакторную аутентификацию, вести журналы и удалять данные, которые больше не нужны.

8 октября координационный центр JPCERT/CC предупредил о серии утечек, которая усилилась примерно с сентября. Среди наблюдаемых сценариев организация перечислила:

• атаки на API приложений;
• использование похищенных API-ключей;
• NoSQL-инъекции;
• эксплуатацию уязвимости CVE-2026-72898 в Metabase;
• установку веб-шеллов.

При этом JPCERT/CC оговорил, что не во всех инцидентах использовался один и тот же метод.

Связь атаки на Burger King с этой волной не подтверждена. Хироаки Курамоти, CTO компании LAC, ещё до раскрытия инцидента BK Japan предостерегал от поспешных выводов:

«По опубликованным данным нельзя заключить, что серия инцидентов связана с одним злоумышленником или единой кампанией атак».

По его оценке, важнее общий сдвиг: «большие массивы персональных данных накапливаются в потребительских веб-сервисах и общих SaaS, а атакующие стремятся повысить преступную ценность сведений, сочетая идентификационные, поведенческие и аутентификационные данные».

Компания Cyber Security Cloud, отслеживающая общую японскую волну атак, зафиксировала серии из более чем 1200 запросов примерно за 40 минут с 326 IP-адресов. Такая картина может указывать на ИИ-агента или похожую автоматизацию, но прямых доказательств этого нет. Связь этих наблюдений с атакой на Burger King не установлена, а применение ИИ именно в этом случае не подтверждено.

Были ли у Burger King Japan утечки раньше?

Да, но значительно меньшие. В октябре 2024 года компания сообщила об утечке 38 записей участников приложения: сначала выявили 30, затем ещё 8. Тогда могли пострадать email, пароль от приложения, а также бренд и срок действия привязанной карты. Номера карт и PIN-коды, по заявлению компании, не утекли. Нынешний инцидент - отдельный. Связан ли он технически с событиями 2024 года, компания не сообщала.