Para: personas registradas en la app oficial de Burger King en Japón y cualquiera que gestione una app de membresía. Este artículo se basa en el aviso oficial de BK Japan Co., Ltd. y no trata técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A fecha del 17 de octubre de 2026Aún no se sabe
- Cómo fue posible el acceso y la causa detallada (en investigación con una especialista externa)
- Si se filtró información de contraseñas de inicio de sesión (la empresa afirma que hasta ahora no se ha confirmado ninguna filtración)
- A cuántas personas corresponden los 11,18 millones de registros
- El remitente y el contenido de los correos de aviso a los clientes afectados
- Los detalles de las soluciones definitivas y las medidas para evitar que se repita
El aviso no indica cuándo se publicará un seguimiento. La empresa afirma que continúa su investigación con una organización especialista externa y sus soluciones definitivas. A fecha del 17 de octubre, no había ningún seguimiento de este incidente en la lista de noticias del sitio oficial de Burger King Japón.
Qué deben hacer hoy los miembros de la app
No siga enlaces ni instrucciones de correos, SMS o llamadas que digan ser de Burger King
Los datos filtrados incluyen nombre (kanji y katakana), fecha de nacimiento, número de teléfono y dirección de correo electrónico. Con todo ello, un estafador puede enviar un mensaje con su nombre y fecha de nacimiento correctos.
La empresa pide a los clientes que estén atentos a correos, SMS y llamadas sospechosos que se hagan pasar por ella o sus servicios, y que no abran URLs ni archivos adjuntos, ni introduzcan datos de miembro o contraseñas. Si el mensaje ofrece, por ejemplo, «cupones de disculpa», un «reembolso de pedido móvil» o «volver a registrar sus datos de miembro» (ejemplos de este sitio), no abra el enlace; abra la app usted mismo para comprobarlo (véase ¿Qué es el phishing?).
Consulte los correos de aviso de la empresa en la app, no a través de sus enlaces
La empresa afirma que está enviando correos a los clientes afectados por turnos. El aviso no indica la dirección del remitente de esos correos.
Los nombres de remitente pueden falsificarse, así que distinguir por el aspecto un aviso auténtico de uno falso es difícil. Aunque llegue un correo de aviso, adopte una regla: no inicie sesión ni introduzca nada a través de un enlace del correo.
Si usa su fecha de nacimiento como PIN o contraseña, cámbiela
A diferencia de la dirección de correo o el número de teléfono, una fecha de nacimiento no se puede cambiar, y esta vez se filtró junto con los nombres.
Si el PIN de su banco o tarjeta, el bloqueo de pantalla del teléfono o cualquier contraseña se basa en su fecha de nacimiento (como «0815» o «19900815»), cámbielo ahora. Este es un consejo general de este sitio, no de la empresa.
Si reutiliza la misma contraseña en otros servicios, sepárelas
La empresa afirma que no se ha confirmado «hasta ahora» ninguna filtración de información de contraseñas de inicio de sesión. El aviso no pide a los miembros que cambien sus contraseñas, pero esa redacción refleja una investigación todavía en curso.
Si usa la misma contraseña para la app de Burger King y otros servicios, sepárelas ahora. Un gestor de contraseñas es la forma práctica de hacerlo. Para comprobar si una contraseña reutilizada aparece en filtraciones anteriores, véase cómo comprobar si su contraseña se filtró.
Esté atento durante un tiempo a llamadas y SMS de números desconocidos
Los números de teléfono son difíciles de cambiar. Los números filtrados pueden recibir llamadas y SMS fraudulentos durante algún tiempo, incluidos algunos que no mencionan en absoluto a Burger King.
Activar los filtros de llamadas y SMS spam del teléfono reduce cuántos le llegan (véase nociones básicas de seguridad en el smartphone).
Use solo los puntos de contacto indicados en el aviso
La empresa indica su servicio de atención al cliente como contacto para los clientes (teléfono 0120-945-630, correo customerservice@burgerking.co.jp, días laborables de 10:00 a 17:00, hora de Japón; cerrado fines de semana y festivos). Use los contactos del aviso en el sitio oficial, no los que aparezcan en un mensaje que haya recibido.
Qué ocurrió (según BK Japan)
BK Japan Co., Ltd. publicó su disculpa y aviso el 15 de octubre de 2026. Todo lo que sigue se basa en ese aviso.
2 (vie.) – 7 (mié.) de octubre de 2026
Un tercero accedió sin autorización al sistema que gestiona la información de los miembros de la app oficial (establecido por la investigación posterior).13 (mar.) de octubre
La investigación estableció que la información de los miembros se había filtrado.15 (jue.) de octubre
Disculpa y aviso publicados. La empresa indicó que había notificado el incidente a la Comisión de Protección de Información Personal de Japón.A fecha del 17 de octubre
No se ha publicado ningún seguimiento.
La empresa afirma que identificó un posible acceso no autorizado e investigó, y que, tras establecer que el acceso se había producido, bloqueó de inmediato el acceso desde su origen. El aviso no indica fecha para ninguno de estos pasos, por lo que no se sabe cómo se relacionan con las fechas anteriores.
- Servicio
- La app oficial de Burger King en Japón (el sistema que gestiona la información de los miembros)
- Alcance
- Unos 11,18 millones de registros de miembros de la app oficial
- Datos filtrados
- ID de miembro, dirección de correo electrónico, tipo de registro, prefectura, género, fecha de nacimiento, nombre (kanji y katakana), número de teléfono, si el miembro tiene historial de pedidos móviles, si la dirección de correo electrónico está verificada
- No incluidos
- Números de tarjetas de crédito (no los conserva la empresa, por lo que no se filtraron)
- No confirmado
- Filtración de información de contraseñas de inicio de sesión (no se ha confirmado ninguna hasta ahora)
- Causa (según la empresa)
- Confirmada como acceso no autorizado de un tercero. Cómo fue posible y la causa detallada se están investigando con una organización especialista externa
- Daños
- No se ha confirmado hasta ahora ningún daño secundario, como uso fraudulento
- Realizado
- Bloqueo de la comunicación desde el origen del acceso, medidas provisionales, creación de un centro de respuesta y notificación a la Comisión de Protección de Información Personal
- En curso
- Soluciones definitivas, investigaciones con una organización especialista externa, envío de correos a los clientes afectados
- Contacto
- Servicio de atención al cliente (teléfono 0120-945-630, correo customerservice@burgerking.co.jp, días laborables de 10:00 a 17:00, hora de Japón; cerrado fines de semana y festivos)
Qué se sabe y qué no
Situación a fecha del 17 de octubre de 2026. Cuando se publique un seguimiento, se actualizará la columna de estado.
| Dato | Lo que dice el aviso | Estado |
|---|---|---|
| Filtración de información de miembros | Confirmada la filtración de la información de los miembros de la app oficial | Filtración confirmada (según la empresa) |
| Número de registros | Unos 11,18 millones de registros de miembros de la app oficial (recuento de registros, no de personas) | Indicado por la empresa |
| Periodo del acceso | Del 2 al 7 de octubre | Indicado por la empresa |
| Nombre, fecha de nacimiento, género, prefectura | Incluidos entre los datos filtrados | Filtración confirmada (según la empresa) |
| Correo electrónico, número de teléfono, ID de miembro | Incluidos entre los datos filtrados | Filtración confirmada (según la empresa) |
| Pedidos móviles | Se indica si existe historial. No se indica el contenido de los pedidos | Filtración confirmada (según la empresa) (solo existencia) |
| Números de tarjetas de crédito | No los conserva la empresa; no se filtraron | No incluidos (según la empresa) |
| Información de contraseñas de inicio de sesión | No se ha confirmado ninguna filtración hasta ahora | No confirmado (según la empresa) |
| Dirección (más allá de la prefectura) | No incluida entre los datos filtrados | No indicado |
| Causa y cómo ocurrió | Acceso no autorizado de un tercero; detalles en investigación | En investigación |
| Daño secundario | Ninguno confirmado hasta ahora | No confirmado (según la empresa) |
| Contacto con los clientes afectados | Por correo, de forma progresiva. Remitente no indicado | No indicado |
| Prevención de recurrencia | Refuerzo de medidas de seguridad y monitorización. Sin detalles | No indicado |
Cómo leer esto: "no confirmado" no significa "no filtrado"
En cuanto a los números de tarjetas de crédito, la empresa afirma sin rodeos que no los conserva y que no se filtraron. En cuanto a la información de contraseñas de inicio de sesión, solo dice que no se ha confirmado ninguna filtración «hasta ahora», lo que refleja una investigación todavía en curso.
Del mismo modo, «no se ha confirmado ningún daño secundario» significa que aún no se ha encontrado ninguno, no que los datos nunca vayan a usarse. Las fechas de nacimiento y los números de teléfono permanecen iguales durante años, así que siga atento a mensajes que usen este incidente como pretexto.
Lo que hace posible la combinación de datos filtrados
Cada dato es corriente por separado, pero juntos ayudan a que los mensajes fraudulentos parezcan auténticos. Lo siguiente es lo que puede ocurrir en general, no una afirmación de que haya ocurrido en este caso.
Nombre (kanji y katakana) + fecha de nacimiento + número de teléfono
↓→
Llamadas falsas que conocen su nombre y fecha de nacimiento, haciéndose pasar por una verificación de identidad
→ No dé por válido lo que saben / no use su fecha de nacimiento como PIN
Nombre + correo electrónico + si el correo está verificado
↓→
Correos falsos dirigidos a usted por su nombre, enviados a una dirección que consta como verificada
→ No abra enlaces / compruebe en la app oficial
Número de teléfono + si existe historial de pedidos móviles
↓→
SMS falsos sobre un «reembolso de pedido» o una «comprobación de pago»
→ No introduzca números de tarjeta ni contraseñas / use un filtro de SMS spam
No filtrado o no confirmado, según el aviso
- Números de tarjetas de crédito (la empresa no los conserva)
- Información de contraseñas de inicio de sesión (no se ha confirmado ninguna filtración hasta ahora)
Filtrado (según la empresa)
- Nombre (kanji y katakana), fecha de nacimiento, género (una fecha de nacimiento no se puede cambiar)
- Número de teléfono (difícil de cambiar)
- Dirección de correo electrónico y si está verificada
- ID de miembro, tipo de registro, prefectura
- Si existe historial de pedidos móviles
Un caso anterior: una filtración distinta de la misma app, anunciada en 2024
La empresa también anunció una filtración de la app oficial de Burger King el 22 de octubre de 2024. En ese aviso, los registros de miembros confirmados como filtrados sumaban 38, y los datos que podrían haberse filtrado eran direcciones de correo electrónico, contraseñas de la app, y la marca y la fecha de caducidad de tarjetas de crédito registradas. Según la empresa, no se filtró la información necesaria para usar una tarjeta, como números de tarjeta y PIN.
El momento, la escala y los datos difieren de este incidente, y el aviso de octubre de 2026 no dice nada sobre una posible relación entre ambos. Este caso podría no seguir el mismo curso. Tanto si le afectó en 2024 como si no, este es un buen momento para comprobar que no reutiliza la contraseña de la app en otros servicios.
Para quienes gestionan una app de membresía
La empresa no ha revelado la causa detallada, así que esta sección no explica cómo prevenirla ni es una valoración de la respuesta de la empresa. Cómo vigilar el número de registros de miembros consultados se explica en el caso de la app de Yakiniku King. Aquí nos centramos en un punto que el propio aviso respalda: los datos que no se tienen no pueden filtrarse.
No conservar usted los números de tarjeta funciona como protección
Según la empresa, no conserva números de tarjetas de crédito, por lo que no se filtraron. Es un ejemplo de un principio general: cuando se vulnera un sistema de miembros, lo que no está en él no puede filtrarse.
Su propio servicio puede diseñarse de la misma manera, dejando los números de tarjeta en el proveedor de pagos y guardando solo el identificador (token) que este devuelve. Tenga en cuenta, sin embargo, que aunque no se almacenen los números de tarjeta, los datos de la tarjeta pueden robarse en el momento de introducirlos si la página de pago ha sido manipulada (véase el caso de PhotoGoods). No tener los datos y proteger la página de introducción son medidas distintas.
Revise cada campo de miembro según su uso
En general, los campos de registro tienden a acumularse para campañas y análisis. Enumere cada campo junto a la función que lo usa, y deje de pedir o de almacenar los campos que no tengan uso.
Por ejemplo, si guarda fechas de nacimiento solo para cupones de cumpleaños, considere si basta con el mes de nacimiento. Si el objetivo es verificar la edad, puede conservar solo el resultado de la comprobación. Los nombres en katakana, el género y campos similares pueden revisarse del mismo modo.
Decida y publique de antemano el remitente que usará para los avisos de incidentes
Este aviso no indica la dirección del remitente de los correos a los clientes afectados. En general, los correos falsos de disculpa se difunden rápidamente tras un incidente, y la única pista que tienen los miembros para reconocer un aviso auténtico suele ser la información del remitente publicada con antelación.
Antes de que ocurra nada, decida el dominio y la dirección del remitente que usará para los avisos importantes a los miembros, publíquelos en su sitio oficial y configure la autenticación del remitente (SPF, DKIM y DMARC). Véase cómo frenar el correo suplantado con SPF, DKIM y DMARC.
Fuentes (registro público)
Los hechos de este artículo se basan en la siguiente información pública. No especulamos sobre vías o métodos de intrusión no revelados.
- BK Japan Co., Ltd., «Disculpa y aviso sobre la filtración de información de miembros de la app oficial debida a un acceso no autorizado» (15 de octubre de 2026, en japonés) — burgerking.co.jp (PDF)
- Lista de «Noticias» de Burger King Japón (consultada el 17 de octubre de 2026; sin seguimiento de este incidente) — burgerking.co.jp
- BK Japan Co., Ltd., «Aviso y disculpa por una filtración de información en la app oficial de Burger King» (22 de octubre de 2024, en japonés; fuente del caso anterior) — Web Archive (PDF)
Historial de actualizaciones
2026-10-17: Primera versión, basada en el aviso de BK Japan del 15 de octubre y en la lista de noticias del sitio oficial de Burger King Japón (consultada el 17 de octubre). La empresa afirma que su investigación con una organización especialista externa continúa; este artículo se actualizará cuando se publique un seguimiento.
Lectura recomendada
- Divulgaciones relacionadas: Acceso no autorizado a H2O ID / Acceso no autorizado al sistema de solicitudes de conexión de Nifty
- Protegerse de estafas derivadas: ¿Qué es el phishing? / Nociones básicas de seguridad en el smartphone
- Contraseñas: Cómo elegir un gestor de contraseñas / Cómo comprobar si su contraseña se filtró
- Casos similares (apps de membresía): Acceso no autorizado a la app de Yakiniku King / Filtración en la app y la tienda online de MrMax
- Otros incidentes de 2026: Lista de filtraciones de datos y ciberataques (Japón y en el mundo)