McDonald's Indonesia: Sicherheitsvorfall
Offene MongoDB-Datenbank legt 28 Millionen Kundendatensätze offen.

Forscher von Cybernews entdeckten am 13. Juli 2026 eine MongoDB-Datenbank der indonesischen Niederlassung von McDonald's, die für jedermann im Internet offen zugänglich war. Die Datenbank gehörte zur Customer Data Platform (CDP) von McDonald's Indonesia, die Kundeninformationen bündelt.

Die Datenbank enthielt mehr als 40 Millionen Datensätze, davon rund 28 Millionen zu Kunden. Die Forscher zählten etwa 12,6 Millionen E-Mail-Adressen, 12,5 Millionen vollständige Namen, 1 Million Telefonnummern und 28,15 Millionen Geräte-Kennungen. Diese Zahlen beziehen sich auf Datensätze. Die Zahl der betroffenen Personen lässt daraus nicht zuverlässig ermitteln.

Weitere Bestände betrafen mehr als 12 Millionen Datensätze zu Datenschutzeinwilligungen mit Nutzerkennungen, Einwilligungsentscheidungen und Zeitstempeln. Dazu kamen über 226.000 Datensätze des Treueprogramms mit Kennungen und Punktetransaktionen, rund 71.000 Datensätze zu Werbekampagnen, 37.800 Verkaufsdaten sowie Angaben zu Restaurants und Push-Benachrichtigungen.

Die Forscher sehen Risiken durch gezielte Phishing-Kampagnen, Kontoübernahmen, gefälschte Nachrichten des Kundensupports und Betrug mit dem Treueprogramm. Hinweise auf eine tatsächliche Ausnutzung der Daten durch Kriminelle gibt es nicht.

Die Forscher meldeten ihren Fund zwei Tage später am 15. Juli. Erst am 23. September 2026 war die Datenbank dann nicht mehr erreichbar, mehr als zwei Monate nach der Entdeckung.