Для кого: для людей, зарегистрированных в официальном приложении Burger King в Японии, и для всех, кто управляет приложением для участников программ лояльности. Статья основана на официальном уведомлении BK Japan Co., Ltd. и не описывает методы атак.
В развитии: статья будет обновляться по мере публикации организацией новой информации
По состоянию на 17 октября 2026 годаПока неизвестно
- Как стал возможен доступ и подробная причина (расследуется с участием внешней специализированной организации)
- Утекла ли информация для входа (паролей) (компания заявляет, что утечка пока не подтверждена)
- Сколько людей соответствуют 11,18 млн записей
- Отправитель и содержание уведомительных писем затронутым клиентам
- Подробности постоянных исправлений и мер по предотвращению повторения
В уведомлении не сказано, когда будет опубликовано продолжение. Компания сообщает, что продолжает расследование с участием внешней специализированной организации и работу над постоянными исправлениями. По состоянию на 17 октября в разделе новостей официального сайта Burger King Japan не было продолжения по этому инциденту.
Что участникам приложения нужно сделать сегодня
Не переходите по ссылкам и не выполняйте инструкции из писем, SMS или звонков от имени Burger King
Утекли имя (кандзи и катакана), дата рождения, номер телефона и адрес электронной почты. Имея всё это, мошенник может отправить сообщение с вашим правильным именем и датой рождения.
Компания просит клиентов остерегаться подозрительных писем, SMS и звонков, выдающих себя за неё или её сервисы, и не открывать ссылки или вложения, а также не вводить данные участника или пароли. Если сообщение предлагает, например, «извинительные купоны», «возврат за мобильный заказ» или «повторно заполнить данные участника» (примеры этого сайта), не открывайте ссылку; проверьте информацию, открыв приложение самостоятельно (см. Что такое фишинг?).
Проверяйте письма компании в приложении, а не по ссылкам из них
Компания сообщает, что поочерёдно отправляет письма затронутым клиентам. В уведомлении не указан адрес отправителя этих писем.
Имена отправителей можно подделать, поэтому отличить настоящее уведомление от поддельного по внешнему виду трудно. Даже если письмо-уведомление пришло, придерживайтесь одного правила: не входите в систему и ничего не вводите по ссылке из письма.
Если вы используете дату рождения как PIN-код или пароль, смените его
В отличие от адреса электронной почты или номера телефона, дату рождения нельзя изменить, а в этот раз она утекла вместе с именами.
Если PIN-код банка или карты, код блокировки экрана телефона или любой пароль основаны на дате рождения (например, «0815» или «19900815»), смените их сейчас. Это общий совет этого сайта, а не компании.
Если вы используете один пароль в других сервисах, разделите их
Компания сообщает, что утечка информации для входа (паролей) «на данный момент не подтверждена». В уведомлении участников не просят менять пароли, но формулировка отражает продолжающееся расследование.
Если вы используете один пароль для приложения Burger King и других сервисов, разделите их сейчас. Практичный способ — менеджер паролей. Чтобы проверить, появлялся ли повторно используемый пароль в прошлых утечках, см. как проверить, утекал ли ваш пароль.
Некоторое время будьте внимательны к звонкам и SMS с незнакомых номеров
Номера телефонов трудно сменить. Утекшие номера могут какое-то время получать мошеннические звонки и SMS, в том числе не упоминающие Burger King.
Включение фильтров спам-звонков и SMS в телефоне уменьшает число таких сообщений (см. основы безопасности смартфона).
Используйте только контакты, указанные в уведомлении
Компания указывает свою службу поддержки для клиентов (телефон 0120-945-630, электронная почта customerservice@burgerking.co.jp, по будням с 10:00 до 17:00 по времени Японии, в выходные и праздничные дни закрыто). Используйте контакты из уведомления на официальном сайте, а не те, что указаны в полученном сообщении.
Что произошло (по данным BK Japan)
BK Japan Co., Ltd. опубликовала извинения и уведомление 15 октября 2026 года. Всё, что изложено ниже, основано на этом уведомлении.
2 октября (пт) – 7 октября (ср) 2026
Третья сторона без разрешения получила доступ к системе, которая управляет информацией об участниках официального приложения (установлено последующим расследованием).13 октября (вт)
Расследование установило, что информация участников утекла.15 октября (чт)
Опубликованы извинения и уведомление. По словам компании, она уведомила об инциденте Комиссию по защите персональной информации Японии.По состоянию на 17 октября
Продолжение не опубликовано.
Компания сообщает, что выявила возможный несанкционированный доступ и провела расследование, а после установления факта доступа немедленно заблокировала доступ с источника. В уведомлении не указаны даты обоих шагов, поэтому то, как они связаны с датами выше, неизвестно.
- Сервис
- Официальное приложение Burger King в Японии (система, которая управляет информацией об участниках)
- Масштаб
- Около 11,18 млн записей участников официального приложения
- Утекшие данные
- Идентификатор участника, адрес электронной почты, тип регистрации, префектура, пол, дата рождения, имя (кандзи и катакана), номер телефона, наличие истории мобильных заказов, факт подтверждения адреса электронной почты
- Не входит
- Номера кредитных карт (не хранятся компанией, поэтому не утекли)
- Не подтверждено
- Утечка информации для входа (паролей) (утечка пока не подтверждена)
- Причина (по версии компании)
- Подтверждён несанкционированный доступ третьей стороны. Как он стал возможен и подробная причина расследуются с участием внешней специализированной организации
- Ущерб
- Вторичный ущерб, например мошеннические операции, пока не подтверждён
- Сделано
- Заблокирована связь с источником доступа, введены промежуточные меры, создан штаб реагирования, информация передана в Комиссию по защите персональной информации
- Продолжается
- Постоянные исправления, расследование с участием внешней специализированной организации, рассылка писем затронутым клиентам
- Контакты
- Служба поддержки (телефон 0120-945-630, электронная почта customerservice@burgerking.co.jp, по будням с 10:00 до 17:00 по времени Японии, в выходные и праздничные дни закрыто)
Что известно и что нет
Статус по состоянию на 17 октября 2026 года. Когда будет опубликовано продолжение, столбец статуса будет обновлён.
| Пункт | Что говорится в уведомлении | Статус |
|---|---|---|
| Утечка информации об участниках | Подтверждено, что информация участников официального приложения утекла | Утечка подтверждена (по данным компании) |
| Количество записей | Около 11,18 млн записей участников официального приложения (количество записей, а не людей) | Указано компанией |
| Период доступа | С 2 по 7 октября | Указано компанией |
| Имя, дата рождения, пол, префектура | Указаны среди утекших данных | Утечка подтверждена (по данным компании) |
| Адрес электронной почты, номер телефона, идентификатор участника | Указаны среди утекших данных | Утечка подтверждена (по данным компании) |
| Мобильные заказы | Указано, есть ли история. Содержание заказов не указано | Утечка подтверждена (по данным компании) (только факт наличия) |
| Номера кредитных карт | Не хранятся компанией; не утекли | Не входят (по данным компании) |
| Информация для входа (пароли) | Утечка пока не подтверждена | Не подтверждено (по данным компании) |
| Адрес (кроме префектуры) | Не указан среди утекших данных | Не указано |
| Причина и как это произошло | Несанкционированный доступ третьей стороны; подробности расследуются | Расследуется |
| Вторичный ущерб | Пока не подтверждён | Не подтверждено (по данным компании) |
| Связь с затронутыми клиентами | По электронной почте, поочерёдно. Отправитель не указан | Не указано |
| Предотвращение повторения | Усиление мер безопасности и мониторинга. Подробностей нет | Не указано |
Как это читать: «не подтверждено» не означает «не утекло»
Что касается номеров кредитных карт, компания прямо заявляет, что не хранит их и они не утекли. Что касается информации для входа (паролей), компания говорит лишь, что утечка «пока не подтверждена», — это отражает продолжающееся расследование.
Аналогично, «вторичный ущерб не подтверждён» означает, что он пока не обнаружен, а не что данные никогда не будут использованы. Даты рождения и номера телефонов остаются неизменными годами, поэтому следите за сообщениями, которые используют этот инцидент как предлог.
Что может сделать комбинация утекших данных
Каждый пункт сам по себе обычен, но вместе они помогают сделать мошеннические сообщения похожими на настоящие. Ниже описано, что в целом может произойти, а не утверждение, что это произошло в данном случае.
Имя (кандзи и катакана) + дата рождения + номер телефона
↓→
Поддельные звонки, которые знают ваше имя и дату рождения и выдают себя за проверку личности
→ Не считайте знание данных доказательством / не используйте дату рождения как PIN-код
Имя + адрес электронной почты + факт подтверждения адреса
↓→
Поддельные письма, обращённые к вам по имени и отправленные на адрес, известный как подтверждённый
→ Не открывайте ссылки / проверяйте в официальном приложении
Номер телефона + наличие истории мобильных заказов
↓→
Поддельные SMS о «возврате за заказ» или «проверке платежа»
→ Не вводите номера карт или пароли / используйте фильтр спам-SMS
Не утекло или не подтверждено, по данным уведомления
- Номера кредитных карт (компания их не хранит)
- Информация для входа (пароли) (утечка пока не подтверждена)
Утекло (по данным компании)
- Имя (кандзи и катакана), дата рождения, пол (дату рождения нельзя изменить)
- Номер телефона (трудно сменить)
- Адрес электронной почты и факт его подтверждения
- Идентификатор участника, тип регистрации, префектура
- Наличие истории мобильных заказов
Прошлый случай: отдельная утечка из того же приложения, объявленная в 2024 году
Компания также объявила об утечке из официального приложения Burger King 22 октября 2024 года. В этом уведомлении подтверждённое количество утекших записей участников составило 38, а возможно утёкшими данными были адреса электронной почты, пароли приложения, а также марка и срок действия зарегистрированных кредитных карт. По словам компании, информация, необходимая для использования карты, например номера карт и PIN-коды, не утекла.
Сроки, масштаб и состав данных отличаются от данного инцидента, а в уведомлении за октябрь 2026 года ничего не говорится о связи между ними. Этот случай может развиваться иначе. Независимо от того, были ли вы затронуты в 2024 году, сейчас хороший момент проверить, не используете ли вы пароль от приложения в других сервисах.
Для тех, кто управляет приложением для участников
Компания не раскрыла подробную причину, поэтому этот раздел не описывает, как её предотвратить, и не является оценкой реакции компании. Как отслеживать количество прочитанных записей участников, описано в случае с приложением Yakiniku King. Здесь мы сосредоточимся на одном моменте, который подтверждает само уведомление: данные, которых у вас нет, не могут утечь.
Отсутствие номеров карт у вас само по себе работает как защита
По словам компании, она не хранит номера кредитных карт, поэтому они не утекли. Это пример общего принципа: при взломе системы участников то, чего в ней нет, не может утечь.
Ваш сервис можно построить так же: оставлять номера карт у платёжного провайдера и хранить только идентификатор (токен), который он возвращает. Однако учтите, что даже без хранения номеров карт данные карты могут быть украдены в момент ввода, если страница оплаты подменена (см. случай PhotoGoods). Отсутствие данных и защита страницы ввода — это разные меры.
Проверяйте каждое поле участника по тому, для чего оно используется
Как правило, поля регистрации накапливаются для акций и аналитики. Перечислите каждое поле рядом с функцией, которая его использует, и прекратите запрашивать или хранить поля, которые не нужны.
Например, если дата рождения нужна только для поздравительных купонов, подумайте, достаточно ли месяца рождения. Если цель — проверка возраста, можно хранить только результат проверки. Имена на катакане, пол и подобные поля можно проверить так же.
Заранее определите и опубликуйте отправителя, который будет использоваться для уведомлений об утечках
В этом уведомлении не указан адрес отправителя писем затронутым клиентам. Как правило, после инцидента быстро распространяются поддельные письма с извинениями, и едва ли не единственная подсказка, по которой участники могут распознать настоящее уведомление, — это заранее опубликованная информация об отправителе.
До того как что-либо произойдёт, определите домен и адрес отправителя для важных уведомлений участников, опубликуйте их на официальном сайте и настройте аутентификацию отправителя (SPF, DKIM и DMARC). См. как остановить подделку писем с помощью SPF, DKIM и DMARC.
Источники (открытые данные)
Факты в этой статье основаны на следующей публичной информации. Мы не делаем предположений о нераскрытых путях проникновения или методах.
- BK Japan Co., Ltd., «Извинения и уведомление об утечке информации участников официального приложения в результате несанкционированного доступа» (15 октября 2026 года, на японском языке) — burgerking.co.jp (PDF)
- Раздел «Новости» Burger King Japan (проверено 17 октября 2026 года; продолжения по этому инциденту нет) — burgerking.co.jp
- BK Japan Co., Ltd., «Уведомление и извинения в связи с утечкой информации из официального приложения Burger King» (22 октября 2024 года, на японском языке; источник для прошлого случая) — Web Archive (PDF)
История обновлений
2026-10-17: первая версия, основанная на уведомлении BK Japan от 15 октября и разделе новостей официального сайта Burger King Japan (проверено 17 октября). Компания сообщает, что расследование с участием внешней специализированной организации продолжается; статья будет обновлена при публикации продолжения.
Читайте далее
- Связанные сообщения: Несанкционированный доступ к H2O ID / Несанкционированный доступ к системе заявок на подключение Nifty
- Защита от последующих мошенничеств: Что такое фишинг? / Основы безопасности смартфона
- Пароли: Выбор менеджера паролей / Как проверить, утекал ли ваш пароль
- Похожие случаи (приложения для участников): Несанкционированный доступ к приложению Yakiniku King / Утечка из приложения и интернет-магазина MrMax
- Другие инциденты 2026 года: Список утечек данных и кибератак (Япония и мир)