Para: pessoas cadastradas no app oficial do Burger King no Japão e quem administra um app de associados. Este artigo se baseia no comunicado oficial da BK Japan Co., Ltd. e não trata de técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
Em 17 de outubro de 2026Ainda não se sabe
- Como o acesso se tornou possível e a causa detalhada (em investigação com uma organização especializada externa)
- Se informações de senha de login vazaram (nenhum vazamento confirmado até agora, segundo a empresa)
- Quantas pessoas os 11,18 milhões de registros representam
- O remetente e o conteúdo dos e-mails de comunicação aos clientes afetados
- Os detalhes das correções definitivas e das medidas para evitar recorrência
O comunicado não informa quando uma atualização será publicada. A empresa diz que continua a investigação com uma organização especializada externa e as correções definitivas. Até 17 de outubro, não havia atualização sobre este incidente na lista de notícias do site oficial do Burger King Japão.
O que os membros do app devem fazer hoje
Não siga links nem instruções em e-mails, mensagens ou ligações que se façam passar pelo Burger King
Os itens expostos incluem nome (kanji e katakana), data de nascimento, telefone e endereço de e-mail. Com tudo isso, um golpista pode enviar uma mensagem com seu nome e data de nascimento corretos.
A empresa pede que os clientes fiquem atentos a e-mails, mensagens de texto e ligações suspeitas que se façam passar por ela ou por seus serviços, e que não abram URLs ou anexos nem informem dados de membro ou senhas. Se a mensagem oferecer, por exemplo, "cupons de desculpas", um "reembolso de pedido pelo celular" ou "recadastramento dos seus dados de membro" (exemplos deste site), não abra o link; abra o app por conta própria para verificar (veja O que é phishing?).
Verifique os e-mails de comunicação da empresa no app, e não pelos links deles
A empresa diz que está enviando e-mails aos clientes afetados em sequência. O comunicado não informa o endereço do remetente desses e-mails.
Nomes de remetente podem ser falsificados, então é difícil distinguir o comunicado verdadeiro do falso pela aparência. Mesmo que um e-mail de comunicado chegue, adote uma regra: não faça login nem informe nada por meio de um link no e-mail.
Se você usa sua data de nascimento como PIN ou senha, troque-a
Diferentemente de um endereço de e-mail ou de um telefone, a data de nascimento não pode ser alterada, e desta vez ela vazou junto com os nomes.
Se o PIN do seu banco ou cartão, o bloqueio de tela do celular ou qualquer senha for baseado na sua data de nascimento (como "0815" ou "19900815"), troque-o agora. Este é um conselho geral deste site, não da empresa.
Se você usa a mesma senha em outros serviços, separe-as
A empresa afirma que nenhum vazamento de informações de senha de login "foi confirmado até agora". O comunicado não pede que os membros troquem suas senhas, mas a formulação reflete uma investigação ainda em andamento.
Se você usa a mesma senha no app do Burger King e em outros serviços, separe-as agora. Um gerenciador de senhas é a forma prática de fazer isso. Para verificar se uma senha reutilizada aparece em vazamentos anteriores, veja como verificar se sua senha vazou.
Fique atento a ligações e mensagens de números desconhecidos por um tempo
Números de telefone são difíceis de trocar. Os números expostos podem receber ligações e mensagens golpistas por algum tempo, inclusive as que nem mencionam o Burger King.
Ativar os filtros de ligações e mensagens de spam do celular reduz quantas chegam até você (veja noções básicas de segurança do smartphone).
Use apenas os canais de contato indicados no comunicado
A empresa indica o seu atendimento ao cliente como contato (telefone 0120-945-630, e-mail customerservice@burgerking.co.jp, dias úteis das 10h às 17h, horário do Japão, fechado aos fins de semana e feriados). Use os contatos do comunicado no site oficial, e não os que estiverem em uma mensagem que você recebeu.
O que aconteceu (segundo a BK Japan)
A BK Japan Co., Ltd. publicou seu pedido de desculpas e comunicado em 15 de outubro de 2026. Tudo o que está abaixo se baseia nesse comunicado.
2 (sex.) – 7 (qua.) de outubro de 2026
Um terceiro acessou sem autorização o sistema que gerencia as informações dos membros do app oficial (constatado pela investigação posterior).13 (ter.) de outubro
A investigação constatou que as informações dos membros haviam vazado.15 (qui.) de outubro
Pedido de desculpas e comunicado publicados. A empresa disse ter comunicado o incidente à Comissão de Proteção de Informações Pessoais do Japão.Até 17 de outubro
Nenhuma atualização publicada.
A empresa afirma que identificou possível acesso não autorizado e investigou, e que, após constatar que o acesso ocorreu, bloqueou imediatamente o acesso a partir da origem. O comunicado não informa datas para nenhuma dessas etapas, por isso não se sabe como elas se relacionam com as datas acima.
- Serviço
- O app oficial do Burger King no Japão (o sistema que gerencia as informações dos membros)
- Escopo
- Cerca de 11,18 milhões de registros de membros do app oficial
- Itens vazados
- ID de membro, endereço de e-mail, tipo de cadastro, prefeitura, sexo, data de nascimento, nome (kanji e katakana), número de telefone, se o membro tem histórico de pedidos pelo celular, se o e-mail foi verificado
- Não incluídos
- Números de cartão de crédito (não guardados pela empresa, por isso não vazaram)
- Não confirmado
- Vazamento de informações de senha de login (nenhum vazamento confirmado até agora)
- Causa (versão da empresa)
- Confirmada como acesso não autorizado por um terceiro. Como ele se tornou possível e a causa detalhada estão em investigação com uma organização especializada externa
- Danos
- Nenhum dano secundário, como uso fraudulento, confirmado até agora
- Concluído
- Bloqueio da comunicação a partir da origem do acesso, medidas provisórias implementadas, criação de um comitê de resposta, comunicação à Comissão de Proteção de Informações Pessoais
- Em andamento
- Correções definitivas, investigações com uma organização especializada externa, envio de e-mails aos clientes afetados
- Contato
- Atendimento ao cliente (telefone 0120-945-630, e-mail customerservice@burgerking.co.jp, dias úteis das 10h às 17h, horário do Japão, fechado aos fins de semana e feriados)
O que se sabe e o que não se sabe
Situação em 17 de outubro de 2026. Quando uma atualização for publicada, a coluna de situação será atualizada.
| Item | O que o comunicado diz | Situação |
|---|---|---|
| Vazamento de informações de membros | Confirmado que as informações de membros do app oficial vazaram | Vazamento confirmado (segundo a empresa) |
| Número de registros | Cerca de 11,18 milhões de registros de membros do app oficial (contagem de registros, não de pessoas) | Informado pela empresa |
| Período do acesso | De 2 a 7 de outubro | Informado pela empresa |
| Nome, data de nascimento, sexo, prefeitura | Listados entre os itens vazados | Vazamento confirmado (segundo a empresa) |
| Endereço de e-mail, telefone, ID de membro | Listados entre os itens vazados | Vazamento confirmado (segundo a empresa) |
| Pedidos pelo celular | Lista-se se existe histórico. O conteúdo dos pedidos não é listado | Vazamento confirmado (segundo a empresa) (apenas a existência) |
| Números de cartão de crédito | Não guardados pela empresa; não vazaram | Não incluídos (segundo a empresa) |
| Informações de senha de login | Nenhum vazamento confirmado até agora | Não confirmado (segundo a empresa) |
| Endereço (além da prefeitura) | Não listado entre os itens vazados | Não informado |
| Causa e como aconteceu | Acesso não autorizado por um terceiro; detalhes em investigação | Em investigação |
| Danos secundários | Nenhum confirmado até agora | Não confirmado (segundo a empresa) |
| Contato com clientes afetados | Por e-mail, em sequência. Remetente não informado | Não informado |
| Prevenção de recorrência | Reforço das medidas de segurança e monitoramento. Sem detalhes | Não informado |
Como ler: "não confirmado" não significa "não vazou"
Quanto aos números de cartão de crédito, a empresa afirma de forma direta que não os guarda e que não vazaram. Quanto às informações de senha de login, diz apenas que nenhum vazamento "foi confirmado até agora", o que reflete uma investigação ainda em andamento.
Da mesma forma, "nenhum dano secundário confirmado" significa que nada foi encontrado até agora, e não que os dados nunca serão usados. Datas de nascimento e telefones permanecem os mesmos por anos, então continue atento a mensagens que usem este incidente como pretexto.
O que a combinação de dados vazados possibilita
Cada item é comum isoladamente, mas juntos ajudam a tornar mensagens golpistas convincentes. A seguir está o que pode acontecer em geral, e não uma afirmação de que tenha acontecido neste caso.
Nome (kanji e katakana) + data de nascimento + telefone
↓→
Ligações falsas que sabem seu nome e data de nascimento, se passando por verificação de identidade
→ Não trate o que eles sabem como prova / não use sua data de nascimento como PIN
Nome + endereço de e-mail + se o e-mail foi verificado
↓→
E-mails falsos endereçados a você pelo nome, enviados a um endereço sabidamente verificado
→ Não abra links / verifique no app oficial
Telefone + se há histórico de pedidos pelo celular
↓→
Mensagens falsas sobre um "reembolso de pedido" ou "verificação de pagamento"
→ Não informe números de cartão ou senhas / use um filtro de mensagens de spam
Não vazados ou não confirmados, segundo o comunicado
- Números de cartão de crédito (a empresa não os guarda)
- Informações de senha de login (nenhum vazamento confirmado até agora)
Vazados (segundo a empresa)
- Nome (kanji e katakana), data de nascimento, sexo (a data de nascimento não pode ser alterada)
- Número de telefone (difícil de trocar)
- Endereço de e-mail e se foi verificado
- ID de membro, tipo de cadastro, prefeitura
- Se há histórico de pedidos pelo celular
Um caso anterior: um vazamento separado do mesmo app, anunciado em 2024
A empresa também anunciou um vazamento do app oficial do Burger King em 22 de outubro de 2024. Nesse comunicado, os registros de membros confirmados como vazados totalizaram 38, e os dados que podem ter vazado eram endereços de e-mail, senhas do app e a bandeira e a data de validade dos cartões de crédito cadastrados. Segundo a empresa, informações necessárias para usar um cartão, como números de cartão e PINs, não vazaram.
O momento, a escala e os itens são diferentes deste incidente, e o comunicado de outubro de 2026 não diz nada sobre qualquer ligação entre os dois. Este caso pode não seguir o mesmo curso. Tendo sido afetado ou não em 2024, este é um bom momento para verificar se você não está reutilizando a senha do app em outros serviços.
Para quem administra um app de associados
A empresa não divulgou a causa detalhada, por isso esta seção não explica como preveni-la e não é uma avaliação da resposta da empresa. Como acompanhar o número de registros de membros lidos é tratado em o caso do app Yakiniku King. Aqui focamos em um ponto que o próprio comunicado sustenta: dados que você não guarda não podem vazar.
Não guardar você mesmo os números de cartão funciona como proteção
Segundo a empresa, ela não guarda números de cartão de crédito, por isso eles não vazaram. É um exemplo de princípio geral: quando um sistema de membros é invadido, o que não está nele não pode vazar.
Seu próprio serviço pode ser construído da mesma forma, deixando os números de cartão com o provedor de pagamento e guardando apenas o identificador (token) que ele devolve. Observe, porém, que, mesmo sem guardar números de cartão, os dados do cartão podem ser roubados no momento da digitação se a página de pagamento for adulterada (veja o caso PhotoGoods). Não guardar os dados e proteger a página de entrada são medidas separadas.
Revise cada campo de membro pelo uso que ele tem
Em geral, os campos de cadastro tendem a se acumular para campanhas e análises. Liste cada campo ao lado da função que o utiliza e pare de pedir, ou de armazenar, campos sem uso.
Por exemplo, se você guarda datas de nascimento apenas para cupons de aniversário, considere se o mês de nascimento é suficiente. Se a finalidade for uma verificação de idade, você pode guardar apenas o resultado da verificação. Nomes em katakana, sexo e campos semelhantes podem ser revisados da mesma forma.
Defina e publique antecipadamente o remetente que você usará em comunicados de incidentes
Este comunicado não informa o endereço do remetente dos e-mails aos clientes afetados. Em geral, e-mails falsos de desculpas se espalham rapidamente após um incidente, e praticamente a única pista que os membros têm para reconhecer o comunicado verdadeiro é a informação do remetente publicada previamente.
Antes que algo aconteça, defina o domínio e o endereço de remetente que você usará para comunicados importantes aos membros, publique-os no seu site oficial e configure a autenticação do remetente (SPF, DKIM e DMARC). Veja como impedir e-mails falsificados com SPF, DKIM e DMARC.
Fontes (registro público)
Os fatos deste artigo se baseiam nas seguintes informações públicas. Não especulamos sobre rotas ou métodos de invasão não divulgados.
- BK Japan Co., Ltd., "Pedido de desculpas e comunicado sobre o vazamento de informações de membros do app oficial devido a acesso não autorizado" (15 de outubro de 2026, em japonês) — burgerking.co.jp (PDF)
- Lista de "Notícias" do Burger King Japão (consultada em 17 de outubro de 2026; nenhuma atualização sobre este incidente) — burgerking.co.jp
- BK Japan Co., Ltd., "Aviso e pedido de desculpas sobre vazamento de informações no app oficial do Burger King" (22 de outubro de 2024, em japonês; fonte do caso anterior) — Web Archive (PDF)
Histórico de atualizações
2026-10-17: Primeira versão, com base no comunicado da BK Japan de 15 de outubro e na lista de notícias do site oficial do Burger King Japão (consultada em 17 de outubro). A empresa diz que sua investigação com uma organização especializada externa continua; este artigo será atualizado quando uma atualização for publicada.
Leia a seguir
- Comunicados relacionados: acesso não autorizado ao H2O ID / acesso não autorizado ao sistema de solicitação de conexão da Nifty
- Como se proteger de golpes derivados: O que é phishing? / Noções básicas de segurança do smartphone
- Senhas: Como escolher um gerenciador de senhas / Como verificar se sua senha vazou
- Casos semelhantes (apps de associados): acesso não autorizado ao app Yakiniku King / vazamento no app e na loja online MrMax
- Outros incidentes em 2026: Lista de vazamentos de dados e ciberataques (Japão e mundo)