日本汉堡王确认发生数据泄露，1118万应用会员记录受影响

泄露范围涵盖多项个人信息，支付卡数据未涉及

日本汉堡王官方确认发生数据泄露事件，旗下官方应用约1118万会员的相关记录遭泄露。负责日本地区汉堡王门店运营的BK Japan表示，有外部方未经授权访问了用于管理应用会员信息的系统。

公司于2026年10月15日公开披露这一事件。根据官方公告，未授权访问行为发生在10月2日至10月7日之间，公司在10月13日确认信息泄露。需要说明的是，本次披露的数字为受影响的会员记录条数，并非经过核实的独立受影响用户数。

遭泄露的信息包括会员ID、邮箱地址、注册类型、所在都道府县、性别、出生日期、汉字与假名形式的全名、手机号码。受影响字段还包括会员是否使用过移动点餐功能、邮箱地址是否完成验证。

移动点餐字段仅记录用户是否使用过该功能，不能作为详细消费历史、单笔订单内容遭泄露的依据。同样，都道府县信息仅能定位用户所在的日本国内区域，不一定会泄露完整的家庭住址。

BK Japan表示，公司未存储信用卡号，因此这类信息未在本次事件中泄露。目前尚未确认登录密码发生泄露。这一表述意味着密码相关情况仍在调查中，并非做出绝对安全的无条件保证。

涉事方启动应急响应，入侵路径仍在调查

公司目前已阻断相关未授权访问路径，成立专项响应团队，并向日本个人信息保护委员会通报了事件情况。同时，公司正在向受影响的会员发送邮件，告知事件相关信息。

目前外部专家正协助调查事件原因，以及攻击者最初入侵系统的路径。BK Japan尚未公开披露攻击者利用的具体漏洞，也未确认事件是否与被盗凭证有关。根据目前公开的细节，无法判定事件涉及勒索软件、支付系统被攻破，也无法确认与其他攻击事件存在关联。

Noticias SIN的报道提到，公司计划联合外部专业机构，强化系统安全能力与监测水平。这些措施主要面向未来的安全防护，目前调查仍需确认攻击者的入侵路径，以及失效的安全控制环节。

泄露信息存在钓鱼风险，用户需警惕仿冒通知

BK Japan表示，目前尚未确认出现信息被冒用等次生危害。但由于泄露信息包含姓名、出生日期、手机号、邮箱地址，攻击者完全可以利用这些细节制作可信度极高的钓鱼内容。诈骗者可以伪装成汉堡王官方发送退款通知、账号核查提醒或安全警报，诱导用户访问虚假登录页面或提供支付信息。需要明确的是，这些是潜在的后续威胁，并非本次事件中已经确认发生的活动。尚未发现信息被滥用的案例，不代表泄露的记录没有风险，攻击者完全可以组合多维度个人信息，让钓鱼内容对收件人来说更具迷惑性。

餐饮行业的数据泄露事件中，经常出现个人信息泄露但信用卡信息未受影响的情况。Cyber Security News此前曾报道麦当劳在韩国和中国台湾地区发生的数据泄露事件，当时泄露的内容为客户联系方式，支付信息未涉及。该媒体2025年还曾报道过汉堡王得来速Assistant存在安全漏洞的事件，那次事件涉及完全不同的平台，现有证据无法证明相关漏洞与本次日本地区应用的数据泄露有关。

受影响的会员应对所有声称来自汉堡王的陌生邮件、短信、来电保持警惕。不要直接点击信息中的链接，应打开官方应用或手动输入官网地址，查看账号相关通知。不要在收到主动发来的联络信息时，向对方透露密码、支付信息或验证码。如果用户曾在可疑页面输入过账号凭证，应立即修改相关密码，同时所有使用了相同密码的其他账号也要同步更换密码。

截至目前，已确认的核心问题是应用会员信息遭泄露。攻击者的初始入侵路径、完整技术原因仍在调查中。后续官方更新将填补这些信息空白，同时会明确区分已确认的事实与潜在风险，避免造成混淆。