- 汉堡王日本子公司披露其移动应用平台发生数据泄露，涉及 1118 万条客户记录。
- 泄露信息涵盖姓名、出生日期、性别、电子邮箱、电话号码及订单历史，支付数据未受影响。
- 公司称在调查期间未发现数据被滥用的证据，并已向监管机构报告此事。
汉堡王日本（Burger King Japan）近日证实，其官方智能手机应用程序的会员管理系统遭受未经授权的第三方访问。公司在违规通知信中确认了入侵发生的具体时间窗口及被盗数据的性质，并就数百万客户敏感信息的丢失致歉。
根据通报，安全团队发现潜在的非授权访问后启动调查，最终于 2026 年 10 月 13 日星期二确定违规事实。入侵行为发生在 2026 年 10 月 2 日星期五至 2026 年 10 月 7 日星期三之间。汉堡王日本表示，已立即阻止来自该来源的访问。
泄露规模与风险
调查显示，此次事件导致 1118 万个客户记录被盗，绝大多数为使用该公司官方 App 的用户数据。泄露内容包含个人身份信息（PII），如姓名、出生日期、性别、电子邮件地址、电话号码以及订单历史记录。
尽管信用卡及其他支付细节未被直接窃取，但上述 PII 数据足以支持攻击者发起高度可信的网络钓鱼邮件，甚至升级为商业电子邮件泄露（BEC）、恶意软件植入或勒索软件攻击。
汉堡王日本强调，目前尚无证据表明这些数据已被滥用，也未收到因本次事件造成欺诈性使用等二次损害的确认报告。公司已将违规情况向日本个人信息保护委员会（PPC）进行汇报。
“我们真诚地为这种情况给客户及相关各方带来的不便和担忧道歉。”公司在声明中表示。
关联俄罗斯分支供应链攻击
值得注意的是，汉堡王并非首次遭遇此类安全挑战。2024 年 9 月底，汉堡王俄罗斯分支曾受到未知威胁行为者的数据泄露影响。
2024 年 10 月，汉堡王向当地媒体透露，其长期使用的国内营销自动化平台 Mindbox 遭到攻击。威胁行为者通过 Mindbox 获取了包括客户信息在内的敏感公司数据。当时，汉堡王指出攻击受害者可能包括连锁餐厅客户，但确认交易相关的公开信息未被第三方传输或存储。
与日本事件类似，俄罗斯方面当时未详细披露攻击的具体技术路径。然而，第三方供应链攻击通常具有破坏性，往往波及使用相同工具的多家企业。不过，针对 Mindbox 的攻击并未报告其他受害企业。
Mindbox 的安全整改
在 2024 年的业绩公布中，Mindbox 承认此次攻击是其“首次严重的信息安全事件”。
事后复盘显示，攻击者利用了一个允许无权限员工间接获取敏感数据的漏洞，这表明攻击基于身份验证机制的缺陷，而非零日漏洞利用。Mindbox 表示已发现并消除了该漏洞。
为防止类似事件再次发生，Mindbox 改革了内部角色系统，实施更严格细致的权限管理，并改变了开发流程以便在产品发布前识别安全问题。此外，该平台还限制了项目访问场景，引入了同事间访问确认机制，并强制推行双重身份验证。
