Burger King Japan confirmó el 15 de octubre de 2026 que el servidor que gestiona las cuentas de su app oficial sufrió un acceso no autorizado entre el 2 y el 7 de octubre. El comunicado de la compañía es deliberadamente escueto: "identificamos un posible acceso no autorizado de un tercero al sistema que gestiona la información de los socios de nuestra app oficial", sin precisar cómo entraron.
Lo que sí ha confirmado son los números: 11,18 millones de registros de clientes expuestos, con nombre, fecha de nacimiento, género, email, teléfono e historial de pedidos. La compañía insiste en dos matices que limitan el daño inmediato: el servidor afectado no almacenaba números de tarjeta de crédito, y no hay evidencia, por ahora, de robo de credenciales de inicio de sesión.
Burger King Japan dice haber bloqueado el acceso en cuanto lo detectó, haberlo notificado a la Comisión de Protección de Información Personal de Japón, y haber contratado a una consultora externa para investigar cómo entraron. También ha avisado a sus clientes de que pueden recibir intentos de phishing aprovechando la filtración.
Para quien administra sus propios servicios, la lección no es específica de Burger King: el patrón de "acceso no autorizado con credenciales válidas" — sin exploit llamativo, sin malware de por medio — es cada vez más el vector real, y una vez que alguien entra con una cuenta legítima, la prevención habitual (firewall, parches) deja de servir de mucho. Lo que sí ayuda es la vigilancia: alertas de acceso desde IPs o ubicaciones nuevas, 2FA en todo lo que gestione datos de usuarios, y registros que permitan reconstruir qué pasó — justo lo que a Burger King Japan le está llevando semanas averiguar a posteriori. Y si usas la app, cualquier email o SMS pidiendo "verificar tu cuenta" en las próximas semanas hay que tratarlo como phishing hasta que se demuestre lo contrario.
Fuentes: bleepingcomputer.com
