Zwischen dem 2. und 7. Oktober 2026 griffen Unbefugte auf einen Server von Burger King Japan zu. Sie stahlen 11,18 Millionen Kundendatensätze der offiziellen Smartphone-App und veröffentlichten sie online. Betroffen waren personenbezogene Daten wie Namen, Geburtsdaten, Geschlecht, E-Mail-Adressen, Telefonnummern und Bestellhistorien. Kreditkartennummern waren dort nicht gespeichert; Hinweise auf einen Zugriff auf Zugangsdaten gab es nicht.
Eine Folgeuntersuchung bestätigte den Vorfall am 13. Oktober 2026. Das Unternehmen blockierte nach Bekanntwerden die Zugriffsquelle, meldete den Vorfall der japanischen Datenschutzbehörde PPC und untersuchte mit externen Fachleuten den noch ungeklärten Zugangsweg. Kunden wurden vor betrügerischen E-Mails, SMS und Anrufen gewarnt.