Burger King Japan bekräftar att obehöriga aktörer fick tillgång till 11,18 miljoner kundposter i början av oktober 2026. Uppgifterna kom från företagets officiella app och inkluderar namn, födelsedata, kön, e-postadresser, telefonnummer och orderhistorik.

Intrånget skedde mellan den 2 och 7 oktober. En tredje part fick obehörig åtkomst till servern som hanterar appmedlemmars information. Burger King Japan genomförde en intern utredning och bekräftade intrånget den 13 oktober.

Kreditkortsnummer och inloggningsuppgifter finns inte lagrade på den berörda servern. Inga sekundära skador, som bedrägliga köp, har bekräftats. Företaget har anmält händelsen till Japans dataskyddsmyndighet (Personal Information Protection Commission) och anlitat externa säkerhetsexperter.

Vad betyder detta för svenska företag?

Intrånget belyser tre konkreta risker som är lika aktuella för svenska organisationer:

• Tredjepartsåtkomst är en svag länk. Burger King Japan pekar på att en extern aktör fick tillgång till systemet. Svenska företag bör regelbundet granska vilka tredjeparter som har åtkomst till kunddata och under vilka villkor.
• Appdata är ett attraktivt mål. Mobilappar samlar ihop personuppgifter i centraliserade databaser. Det gör dem till ett lönsamt mål. Åtkomstkontroll och kryptering av vilande data är grundläggande skydd.
• Snabb transparens minskar skadan. Burger King Japan kommunicerade öppet och snabbt efter att utredningen slutfördes. Det är god praxis och minskar risken för regulatoriska påföljder under GDPR.

Japansk säkerhetsforskare Yutaka Sejiyama har loggat 119 säkerhetsincidenter i Japan under 2026 där personuppgifter stulits eller exponerats. Attackerarna söker i allt högre grad efter brister i åtkomstkontroll, konfigurationer och autentisering snarare än avancerade zero-days.

Berörda kunder uppmanas vara vaksamma på misstänkta mejl, SMS och telefonsamtal som utger sig för att komma från Burger King Japan.

Källa: BleepingComputer