Burger King Japan, de Japanse franchisenemer van de wereldwijde fastfoodketen, heeft een datalek gemeld waarbij aanvallers toegang kregen tot een server met 11,18 miljoen klantgegevens. Het gaat om gegevens van gebruikers van de officiële bestel-app: namen, geboortedata, geslacht, e-mailadressen, telefoonnummers en bestelgeschiedenis.
Volgens het bedrijf stonden er geen creditcardgegevens op de getroffen server, en is er geen bewijs dat aanvallers ook inloggegevens hebben buitgemaakt. De ongeoorloofde toegang vond plaats tussen vrijdag 2 en woensdag 7 oktober. Burger King Japan ontdekte het incident, blokkeerde de toegang vanaf de betreffende bron en rondde op 13 oktober een vervolgonderzoek af. Hoe de aanvallers precies binnenkwamen is nog onduidelijk; het bedrijf onderzoekt dit met externe cybersecurity-experts.
Het bedrijf heeft het incident gemeld bij de Japanse privacytoezichthouder (Personal Information Protection Commission) en zijn excuses aangeboden aan getroffen klanten. Fraude als gevolg van het lek is vooralsnog niet vastgesteld, maar klanten worden gewaarschuwd voor phishingpogingen die zich voordoen als Burger King Japan via e-mail, sms of telefoon. Het bedrijf adviseert om niet op links te klikken, geen bijlagen te openen en geen lidmaatschaps- of wachtwoordgegevens in te vullen naar aanleiding van dergelijke berichten.
Het incident past in een bredere golf van cyberaanvallen op grote Japanse bedrijven dit jaar. Onderzoeker Yutaka Sejiyama van beveiligingsbedrijf Macnica registreerde in 2026 al 119 incidenten waarbij persoonsgegevens werden gestolen of blootgesteld, met aanvallers die zich steeds vaker richten op zwakke toegangscontrole, verkeerde configuraties en authenticatiefouten in websites en API’s.
Ook Nederlandse bedrijven met een klantenapp doen er goed aan om dit soort toegangscontroles op eigen API’s en backend-servers periodiek te laten testen, juist omdat dit type fout vaak pas opvalt nadat een server al is leeggetrokken.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Beheert u een klant-app met persoonsgegevens? Laat toegangscontroles op API's en backend-servers regelmatig testen, en waarschuw uw klantenservice alvast voor phishingpogingen die inspelen op dit soort nieuws.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.