Burger King Japán – adatszivárgás: 11,18 millió ügyfélrekord

Esettanulmány – CyberSecurity Crime Cards (Gill & Murry)

Érintett szervezet: Burger King Japán (a Burger King japán leányvállalata, kb. 350 étterem)

‍Incidens típusa: Jogosulatlan hozzáférés / adatszivárgás (app-tagsági szerver)

‍Időpont: A hozzáférés: 2026. október 2.–7.; bejelentés: 2026. október 13.

‍Érintettek: kb. 11,18 millió ügyfélrekord

Mi történt

1. október 2. (péntek) és október 7. (szerda) között illetéktelen harmadik fél fért hozzá a Burger King Japán hivatalos okostelefonos alkalmazásának tagi adatait kezelő szerveréhez. A cég észlelte a potenciális jogosulatlan hozzáférést, és letiltotta az érintett forrást. A követő vizsgálatot október 13-án zárta le, és aznap (csütörtökön) sajtóközleményben jelentette be az esetet.

A behatolás módját – hogy a támadók pontosan hogyan jutottak be – a cikk nem nevezi meg; a vállalat külső kiberbiztonsági szakértőkkel még vizsgálja. Támadói csoportot vagy elkövetőt a forrás nem azonosít.

Milyen kár keletkezett

A szerverről kb. 11,18 millió ügyfélrekord szivárgott ki. Az érintett személyes adatok: név, születési dátum, nem, e-mail-cím, telefonszám és rendelési előzmények.

• Bankkártyaszámot nem tároltak a szerveren.
• Nincs bizonyíték arra, hogy a támadók felhasználói jelszavakhoz hozzáfértek volna.
• A vállalat szerint megerősített másodlagos kár (pl. csalárd felhasználás) eddig nincs.
• Az esetet jelentették Japán adatvédelmi hatóságának (Personal Information Protection Commission, PPC).
• A cég figyelmeztette az ügyfeleket a nevében érkező adathalász e-mailekre, SMS-ekre és hívásokra (ne kattintsanak linkre, ne nyissanak mellékletet, ne adjanak meg tagi adatot vagy jelszót).

Milyen biztonsági hiányosságok vezettek az esethez

A cikk nem állapít meg konkrét gyökérokot (nincs megnevezett sérülékenység, hibás konfiguráció vagy kiszivárgott hitelesítő adat). A közölt tényekből levezethető, valószínűsíthető gyengeségek:

• Elérhető személyes adatvagyon: jelentős mennyiségű személyes adat egy külső fél által elérhető rendszerben, a forrás nem magyarázza, miért volt ez a hozzáférés lehetséges. (következtetés)
• Lassú észlelés: a hozzáférés kb. 6 napig (okt. 2.–7.) fennállt, mielőtt letiltották, a teljes hatókör tisztázása pedig október 13-ig tartott. (következtetés)
• Adatminimalizálás hiánya: a tárolt mezők (név, születési dátum, elérhetőségek, rendelési előzmények) fizetési adat nélkül is elegendők célzott adathalászathoz és social engineeringhez. (következtetés)
• Tágabb kontextus: a Macnica kutatója, Yutaka Sejiyama idén 119 személyesadat-lopással/-kiszivárgással járó incidenst regisztrált Japánban; a támadók weboldalakat és API-kat vizsgálnak hozzáférés-szabályozási, konfigurációs és hitelesítési hibákért, és ismert (n-day) sérülékenységeket használnak ki. (Ez a trendről szól, nem erről a konkrét esetről.)

Mi a tanulság, mit kellett volna tenni

• Az app-backendeket ugyanúgy védeni kell, mint a fizetési rendszereket – a név, születési dátum és rendelési előzmény önmagában is nagy hatású szivárgást okoz.
• Adatminimalizálás: csak a feltétlenül szükséges személyes adatot tároljuk, és korlátozott ideig – így kevesebbet vihet el egy támadó.
• Rövidebb észlelési idő: a szokatlan adathozzáférés és -kiáramlás monitorozásával a 6 napos ablak lerövidíthető.
• Felkészülés az adathalász utótámadásra: a kiszivárgott kontaktadat és rendelési előzmény meggyőző megszemélyesítést tesz lehetővé – az ügyfélkommunikációnak erre számítania kell.
• Ismert sérülékenységek javítása, API-k és hozzáférés-szabályozás auditálása – a japán incidenshullám trendje alapján. (következtetés)

Egy mondatos tanulság: Bankkártyaszám nélkül is súlyos – a név, születési dátum és rendelési előzmény épp elég a célzott adathalászathoz.

Megjegyzések a forrásokhoz

• A behatolás módja, a támadó kiléte, a kiszivárgott adatok megjelenési helye és a konkrét technikai gyökérok a cikkben nem szerepel – ezeket a vállalat saját, részletesebb közleménye vagy egy későbbi vizsgálati jelentés tisztázhatja.
• A 3. és 4. szakaszban (következtetés)-sel jelölt pontok a közölt tényekből levont következtetések, nem a cikk által megerősített megállapítások.
• A 11,18 millió rekord, a 2026.10.02.–10.07. hozzáférési ablak, az adatkörök, a PPC-bejelentés és a Macnica-adatok (119 incidens, Yutaka Sejiyama) a BleepingComputer cikkéből származnak.

‍